Spring Security Granted Authority（授予权限）

news2024/11/20 16:13:40

Spring Security 是一个全面的框架，用于保护基于 Spring 的应用程序。它引入了一种强大的权限处理模型，即 Granted Authority。本文将探讨什么是 Granted Authority，它在 Spring Security 中的作用，以及如何通过实际示例有效地实现和利用它。

理解 Granted Authority

Granted Authority 表示授予已认证用户执行特定操作的权限或权利。它是 Spring Security 授权机制的核心组件，支持基于用户分配的角色或权限进行细粒度的访问控制。

Granted Authority 的作用

基于权限的访问控制：Granted Authorities 可以用于根据用户的权限限制对应用程序各个部分的访问。
灵活性和可扩展性：Authorities 可以表示角色（如 ROLE_USER、ROLE_ADMIN）或更细粒度的权限（如 READ_PRIVILEGES、WRITE_PRIVILEGES），提供灵活建模复杂安全需求的能力。

实现 Granted Authority

实现 Granted Authority 涉及定义权限或角色，将它们分配给用户，并根据这些权限强制执行访问控制。以下是一些示例，展示了这些步骤的实现。

示例 1：在 UserDetailsService 中定义 Authorities

在实现 UserDetailsService 时，定义每个用户被授予的权限。这是将用户与其角色或权限关联起来的关键步骤。

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 从数据库中获取用户和角色
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        
        List<GrantedAuthority> authorities = user.getRoles().stream()
            .map(role -> new SimpleGrantedAuthority(role.getName()))
            .collect(Collectors.toList());

        return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), authorities);
    }
}

此示例从数据库中获取用户及其角色，并将每个角色转换为 GrantedAuthority。

示例 2：使用 Authorities 配置方法安全

Spring Security 允许使用 @PreAuthorize 注解来保护服务方法，其中可以指定方法访问所需的权限。

@RestController
@RequestMapping("/api/")
public class AdminController {

    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/admin")
    public ResponseEntity<String> helloAdmin() {
        return ResponseEntity.ok("Hello Admin");
    }

    @PreAuthorize("hasRole('USER')")
    @GetMapping("/user")
    public ResponseEntity<String> helloUser() {
        return ResponseEntity.ok("Hello User");
    }
}

@PreAuthorize("hasRole('ADMIN')")：应用于 helloAdmin() 方法，指定该端点只能由具有 ADMIN 角色的用户访问。
@PreAuthorize("hasRole('USER')")：应用于 helloUser() 方法，限制访问仅限于具有 USER 角色的用户。Spring Security 在允许访问方法之前会强制执行角色检查。

使用 @PreAuthorize 注解在 Spring Boot REST API 中提供了一种强大且灵活的管理方法级访问控制的方式。它允许在受保护资源的上下文中直接进行清晰且可维护的安全配置。

示例 3：使用 Authorities 保护 Web 端点

您还可以使用 Authorities 限制对特定 Web 路径或端点的访问。

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/admin/**").hasAuthority("ROLE_ADMIN")
                .requestMatchers("/user/**").hasAnyAuthority("ROLE_USER", "ROLE_ADMIN")
                .requestMatchers("/public/**").permitAll()
                .anyRequest().authenticated())
            .httpBasic(Customizer.withDefaults());

        return http.build();
    }
}