security权限管理详解

一、授权流程

用户登录成功后会将用户信息保存在Authencation对象中，Authencation接口中有一个getAuthorities()方法返回的是用户的权限

Collection<? extends GrantedAuthority> getAuthorities();

现有系统可以基于角色做权限管理也可以使用资源（权限字符串）做权限管理，这里的GrantedAuthority是角色还是资源呢？

• 如果 业务是基于角色做的权限管理，即用户->角色->资源，那么返回的是用户的角色
• 如果业务是基于资源（权限）做的权限管理，即用户->权限->资源，返回的是用户的权限
• 如果基于角色+权限做的权限管理，即用户->角色->权限->资源，返回的是用户的权限

security在角色和权限的处理方式上基本一样的，唯一区别就是很多时候会自动给角色增加一个ROLE_前缀，而权限不会添加

二、权限管理策略

1、基于URL做权限管理（过滤器技术实现）

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    //创建内存数据源
    public UserDetailsService userDetailsService(){
        InMemoryUserDetailsManager inMemoryUserDetailsManager = new InMemoryUserDetailsManager();
        //admin用户 具有ADMIN 和 USER角色
        inMemoryUserDetailsManager.createUser(User.withUsername("admin").password("{noop}123").roles("ADMIN","USER").build());
        //user用户 具有USER角色
        inMemoryUserDetailsManager.createUser(User.withUsername("user").password("{noop}123").roles("USER").build());
        //info用户具有READ_INFO权限操作
        inMemoryUserDetailsManager.createUser(User.withUsername("info").password("{noop}123").authorities("READ_INFO").build());
        return inMemoryUserDetailsManager;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                //访问/admin必须有ADMIN角色
                .mvcMatchers("/admin").hasRole("ADMIN")
                //访问/user需要USER角色或者ADMIN角色
                .mvcMatchers("/user").hasAnyRole("ADMIN","USER")
                //访问/info必须有READ_INFO权限
                .mvcMatchers("/info").hasAuthority("READ_INFO")
                .anyRequest().authenticated()
                .and().formLogin()
                .and().csrf().disable();
    }
}

备注1：上面的hasRole()、hasAuthority()称为权限表达式,类如下

备注2：mvcMatchers、antMatchers、regexMatchers区别是？

1、mvcMatchers是在antMatchers之后增加的，两个都可以传递请求方式以及多个路径，如下

.mvcMatchers(HttpMethod.GET,"/admin","/test").hasRole("ADMIN")
.antMatchers(HttpMethod.GET,"/admin","/test").hasRole("ADMIN")

2、mvcMatchers相对antMatchers更加强大一些，比如mvcMatchers("/admin")可以匹配“/admin"还可以匹配"/admin/" 、"/admin/a"、"/admin.html",但是.antMatchers("/admin")只能匹配"/admin"

3、regexMatchers则是可以通过正在表达式匹配

2、基于方法策略权限管理（基于AOP技术实现）

基于方法的权限管理是基于aop技术实现的，security中通过MethodSecurityInterceptor提供相关实现，不同在于FilterSecurityInterceptor只是请求前置进行处理，而MethodSecurityInterceptor除了前置请求还可以进行后置请求，前置是在请求之前判断是否具有相应的权限，后置则是对方法的执行结果进行二次过滤，前置和后置分别对应了不同的实现类，

/**
 * EnableGlobalMethodSecurity是开启全局方法的权限注解
 * prePostEnabled开启security提供的四个权限注解，这四个注解支持上面的权限表达式
 *      @PostFilter在目标方法执行之后对方法的返回结果进行过滤
 *      @PostAuthorize在目标方法执行之后进行权限校验
 *      @PreAuthorize在目标方法执行之前进行校验
 *      @PreFilter在目标方法执行之前对参数进行过滤
 * securedEnabled开启security提供的@secured，只支持角色，不支持权限表达式
 *      @secured访问目标方法必须具备相应的角色
 * jsr250Enabled开启JSR-250提供的三个权限注解，同样只支持角色不支持权限表达式
 *      @DenyAll拒绝所有访问
 *      @PermitAll允许所有访问
 *      @RolesAllowed访问目标方法必须具备相应的角色
 *
 *这些基于方法的权限注解，一般来说只要设置prePostEnabled=true就够了
 */
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true,securedEnabled = true,jsr250Enabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    //创建内存数据源
    @Bean
    public UserDetailsService userDetailsService(){
        InMemoryUserDetailsManager inMemoryUserDetailsManager = new InMemoryUserDetailsManager();
        //admin用户 具有ADMIN 和 USER角色
        inMemoryUserDetailsManager.createUser(User.withUsername("admin").password("{noop}123").roles("ADMIN","USER").build());
        //user用户 具有USER角色
        inMemoryUserDetailsManager.createUser(User.withUsername("user").password("{noop}123").roles("USER").build());
        //info用户具有READ_INFO权限操作
        inMemoryUserDetailsManager.createUser(User.withUsername("info").password("{noop}123").authorities("READ_INFO").build());
        return inMemoryUserDetailsManager;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().authenticated()
                .and().formLogin()
                .and().csrf().disable();
    }
}

使用

@RestController
@RequestMapping("/demo")
public class DemoController {
    /**
    *可以使用权限表达式以及and or
    *除了角色还可以使用权限hasAuthority
    */
    @PreAuthorize("hasRole('ADMIN') and authentication.name=='admin'")
    @GetMapping("/user")
    public String user(){
        return "user";
    }
    /**
    * 传的参数如果和登录用户的账号相同才能访问
    */
    @PreAuthorize("authentication.name==#username")
    @GetMapping("/name")
    public String name(String username){
        return "name";
    }
    /**
    * 请求方法前对参数过滤 参数必须是数组、集合
    */
    @PreFilter(value = "filterTarget.id%2!=0",filterTarget = "users")
    @GetMapping("/users")
    public String name(@RequestBody List<User> users){
        return "user";
    }
    /**
    * 返回指定的对象
    */
    @PostAuthorize("returnObject.id==1")
    @GetMapping("/userId")
    public String userId(@RequestBody List<User> users){
        return "userId";
    }
    /**
    * 过滤方法的返回值 返回值是数组或者集合
    */
    @PostFilter("filterTarget.id%2==0")
    @GetMapping("/all")
    public String all(@RequestBody List<User> users){
        return "all";
    }
    
    /**
    * 只能判断角色,可以是多个 ，具有其中一个即可
    */
    @Secured("{ROLE_USER,ROLE_ADMIN}")
    @GetMapping("/Secured")
    public String secured(@RequestBody List<User> users){
        return "Secured";
    }
    
    /**
    * 放行所有
    */
    @PermitAll
    @GetMapping("/PermitAll")
    public String permitAll(@RequestBody List<User> users){
        return "PermitAll";
    }
    
    /**
    * 拒绝所有请求
    */
    @DenyAll
    @GetMapping("/denyall")
    public String denyAll(){
        return "denyall";
    }
    
    /**
    * 具有其中一个角色即可
    */
    @RolesAllowed("{ROLE_ADMIN,ROLE_USER}")
    @GetMapping("/rolseAll")
    public String rolseAll(){
        return "rolseAll";
    }
}