在前面的章节中，我们沿用了Spring Security默认的安全机制：仅有一个用户，仅有一种角色。在实际开发中，这自然是无法满足需求的。本章将更加深入地对Spring Security迚行配置，且初步使用授权机制。
3.1 默认数据库模型的认证与授权
3.1.1、资源准备
首先，在controller包下新建三个控制器，如图所示。
其次，分别建立一些测试路由。
package com.boot.controller;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
@RequestMapping("/admin/api")
public class AdminController {
@GetMapping("/hello")
public String hello(){
return "hello,admin";
}
}
package com.boot.controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
@RequestMapping("/app/api")
public class AppController {
@GetMapping("/hello")
public String hello(){
return "hello,app";
}
}
package com.boot.controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
@RequestMapping("/user/api")
public class UserController {
@GetMapping("/hello")
public String hello(){
return "hello,user";
}
}
假设在/admin/api/下的内容是系统后台管理相关的API，在/app/api 下的内容是面向客户端公开访问的API，在/user/api/下的内容是用户操作自身数据相关的API；显然，/admin/api必须拥有管理员权限才能进行操作，而/user/api必须在用户登录后才能进行操作。
3.1.2、资源授权的配置
为了能正常访问前面的路由，我们需要进一步地配置Spring Security。
package com.boot.config;
import org.springframework.beans.factory.ObjectProvider;
import org.springframework.boot.autoconfigure.security.SecurityProperties;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.util.StringUtils;
import java.util.List;
import static org.springframework.security.config.Customizer.withDefaults;
//@EnableWebSecurity:开启SpringSecurity 之后会默认注册大量的过滤器servlet filter
//过滤器链【责任链模式】SecurityFilterChain
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
//authorizeHttpRequests:针对http请求进行授权配置
//login登录页面需要匿名访问
//permitAll:具有所有权限 也就可以匿名可以访问
//anyRequest:任何请求 所有请求
//authenticated:认证【登录】
http.authorizeHttpRequests(authorizeHttpRequests->
authorizeHttpRequests
//********************************角色****************************************
//.requestMatchers("/admin/api").hasRole("admin") //必须有admin角色才能访问到
//.requestMatchers("/user/api").hasAnyRole("admin","user") // /user/api:admin、user都是可以访问
//********************************权限****************************************
.requestMatchers("/admin/api").hasAuthority("admin:api") //必须有admin:api权限才能访问到
.requestMatchers("/user/api").hasAnyAuthority("admin:api","user:api") //有admin:api、user:api权限能访问到
//********************************匹配模式****************************************
.requestMatchers("/admin/api/?").hasAuthority("admin:api") //必须有admin:api权限才能访问到
.requestMatchers("/user/api/my/*").hasAuthority("admin:api") //必须有admin:api权限才能访问到
.requestMatchers("/admin/api/a/b/**").hasAuthority("admin:api") //必须有admin:api权限才能访问到
.requestMatchers("/app/api").permitAll() //匿名可以访问
.requestMatchers("/login").permitAll()
.anyRequest().authenticated()
);
//现在我们借助异常处理配置一个未授权页面:【实际上是不合理的 我们应该捕获异常信息 通过异常类型来判断是什么异常】
http.exceptionHandling(e->e.accessDeniedPage("/noAuth"));
//http:后面可以一直点 但是太多内容之后不美
