第4章 Spring Security 的授权与角色管理（2024 最新版）（上）+https://developer.aliyun.com/article/1487146
4.2.4 拓展案例 2：使用方法级安全进行角色和权限控制
当你需要在更细粒度的级别上控制访问权限时，方法级安全是一个强大的工具。Spring Security 通过注解提供了这种控制能力，允许你直接在服务或控制器层的方法上定义访问策略。
案例 Demo
假设我们的博客系统需要对不同的操作定义详细的访问控制策略，例如只允许文章的作者或管理员编辑文章，而访客只能阅读文章。
步骤 1: 启用方法级安全
首先，确保你的安全配置类启用了方法级安全。通过在配置类上添加 @EnableGlobalMethodSecurity 注解，并设置 prePostEnabled 为 true。
@Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class MethodSecurityConfig extends WebSecurityConfigurerAdapter { // 安全配置内容 }
步骤 2: 定义角色和权限
在这个示例中，我们假设已经通过某种方式（例如，动态角色和权限的数据库配置案例）定义了用户的角色和权限。
步骤 3: 应用方法级安全注解
在服务类中，我们可以使用 @PreAuthorize 或 @PostAuthorize 注解来定义访问控制策略。
@Service public class BlogService { // 只有作者或管理员可以编辑文章 @PreAuthorize("hasRole('ROLE_ADMIN') or (hasRole('ROLE_AUTHOR') and #article.author == authentication.name)") public void editArticle(Article article) { // 编辑文章的逻辑 } // 所有人都可以阅读文章 @PreAuthorize("permitAll()") public Article readArticle(Long articleId) { // 读取文章的逻辑 return new Article(); } }
在 editArticle 方法上的 @PreAuthorize 注解确保只有文章的作者或者拥有管理员角色的用户可以编辑文章。这里使用了 Spring 表达式语言（SpEL）来访问方法参数 article 和当前认证用户的名称。
步骤 4: 测试方法级安全控制
启动应用，并尝试以不同角色的用户执行上述定义的操作。你应该会看到只有符合条件的用户才能成功执行 editArticle 方法，而 readArticle 方法对所有人开放。
使用自定义方法进行安全检查
有时候，你可能需要根据复杂的业务逻辑进行安全检查，这时可以定义自定义方法来辅助安全注解。
步骤 1: 创建一个辅助服务
@Service public class SecurityService { public boolean isArticleOwner(Long articleId, String username) { // 检查指定的用户名是否为文章的所有者 // 此处省略具体实现 return true; } }
步骤 2: 在方法级安全注解中调用自定义方法
@Service public class BlogService { @Autowired private SecurityService securityService; @PreAuthorize("@securityService.isArticleOwner(#articleId, authentication.name)") public void editArticle(Long articleId) { // 编辑文章的逻辑 } }
在这个例子中，我们通过调用 SecurityService 中的 isArticleOwner 方法来动态地检查当前用户是否有权限编辑文章。
通过使用方法级安全控制，你可以在 Spring Security 中实现复杂和细粒度的访问控制策略，确保应用的安全性同时满足业务需求。
4.3 方法级安全性
在 Spring Security 中，方法级安全性是一个强大的特性，允许开发者在单个方法上应用安全策略。这种方式提供了比URL级别更细粒度的控制，非常适合那些需要根据不同业务逻辑或数据敏感性来调整访问权限的场景。
4.3.1 基础知识详解
方法级安全的关键概念
- @EnableGlobalMethodSecurity: 这个注解用于在配置类上启用方法级安全设置。它允许开发者启用和配置不同类型的方法级安全注解支持，包括
prePostEnabled、securedEnabled和jsr250Enabled三个参数。 - @PreAuthorize 和 @PostAuthorize: 这两个注解允许在方法执行之前或之后进行权限验证。
@PreAuthorize可以根据表达式的评估结果来决定是否执行方法，而@PostAuthorize允许根据方法的执行结果来进行安全检查。 - @Secured: 这个注解用于指定一个方法只能被拥有特定角色的用户访问。它是一种相对简单直接的访问控制形式，不支持SpEL表达式。
- @RolesAllowed: 类似于
@Secured，这个注解来源于JSR-250标准，用于指定执行方法所需的角色列表。
方法级安全的配置
启用方法级安全需要在配置类中使用 @EnableGlobalMethodSecurity 注解，并根据需求设置其参数。
- prePostEnabled: 设置为
true以启用@PreAuthorize和@PostAuthorize注解。 - securedEnabled: 设置为
true以启用@Secured注解。 - jsr250Enabled: 设置为
true以启用@RolesAllowed注解。
使用表达式进行权限控制
Spring Security 的方法级安全支持使用Spring表达式语言（SpEL）进行复杂的权限控制。这种方式提供了极高的灵活性，允许开发者在注解中引用bean、方法参数、认证对象等，以实现精细化的访问控制策略。
例如，使用 @PreAuthorize 来检查认证用户的角色或调用方法参数的属性：
@PreAuthorize("hasRole('ROLE_ADMIN') or #model.createdBy == authentication.name") public void performSensitiveOperation(Model model) { // 方法体... }
这段代码表示只有管理员角色的用户或者模型的创建者本人才能执行该操作。
通过掌握这些基础知识，开发者可以利用Spring Security在应用中实现高度定制化的安全策略，确保敏感操作只能由合适的角色或用户执行。这不仅加强了应用的安全性，也提供了一种灵活且强大的方式来满足复杂的业务需求。
4.3.2 主要案例：使用 @PreAuthorize 控制方法访问
在这个案例中，我们将演示如何使用 @PreAuthorize 注解来实现方法级别的访问控制。假设我们正在开发一个在线图书馆系统，其中包含一个功能允许用户借阅图书。我们希望只有拥有 ROLE_USER 角色并且账户状态为激活状态的用户才能借阅图书。
案例 Demo
步骤 1: 启用方法级安全
首先，在安全配置类中启用方法级安全，允许使用 @PreAuthorize 注解。
@Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class SecurityConfig extends WebSecurityConfigurerAdapter { // 安全配置内容 }
步骤 2: 创建用户服务
接下来，假设我们有一个用户服务，其中包含用户的角色和状态信息。为了简化，我们在这里不展示用户服务的实现细节。
步骤 3: 定义借阅图书的方法
在图书服务类中，我们定义一个方法 borrowBook，使用 @PreAuthorize 注解来限制只有角色为 ROLE_USER 且账户状态为激活的用户才能执行该方法。
@Service public class BookService { @PreAuthorize("hasRole('ROLE_USER') and @userService.isAccountActive(authentication.principal.username)") public void borrowBook(Long bookId) { // 借阅图书的逻辑... System.out.println("Book borrowed successfully."); } }
在这个例子中，@userService.isAccountActive(authentication.principal.username) 调用了自定义的 UserService 中的 isAccountActive 方法来检查当前认证用户的账户是否激活。这里使用了 SpEL 表达式中的 @ 符号来引用 Spring 管理的 Bean。
步骤 4: 测试方法访问控制
启动应用，并以不同的用户身份尝试借阅图书。你应该会发现只有符合条件（即角色为 ROLE_USER 且账户为激活状态）的用户才能成功执行 borrowBook 方法。
基于参数的动态权限验证
在一些场景下，你可能需要根据方法参数来动态决定访问权限。例如，只允许用户编辑他们自己的文章。
@Service public class ArticleService { @PreAuthorize("#article.author.username == authentication.principal.username") public void editArticle(Article article) { // 编辑文章的逻辑... } }
结合自定义方法进行复杂权限验证
有时候，权限验证逻辑可能非常复杂，需要结合多个条件进行判断。这时，可以定义自定义方法来辅助权限验证。
@Service public class SecurityService { public boolean checkAccess(Long articleId, String username) { // 复杂的权限验证逻辑... return true; // 假设返回结果 } } @Service public class ArticleService { @Autowired private SecurityService securityService; @PreAuthorize("@securityService.checkAccess(#articleId, authentication.principal.username)") public void updateArticle(Long articleId, Article article) { // 更新文章的逻辑... } }
通过这个案例和其拓展，你可以看到 @PreAuthorize 注解如何为 Spring Security 应用提供强大而灵活的方法级访问控制能力，使得开发者能够根据具体的业务需求定制复杂的安全策略。
4.3.3 拓展案例 1：使用自定义权限验证
在复杂的应用场景中，可能需要根据业务逻辑进行详细的权限验证。Spring Security 允许开发者定义自定义权限验证方法，这为实现复杂的安全需求提供了极大的灵活性。
案例 Demo
假设我们正在开发一个社交媒体平台，我们需要确保用户只能删除自己的帖子。为此，我们将实现一个自定义权限验证逻辑，以检查当前认证用户是否为帖子的所有者。
步骤 1: 创建帖子服务
首先，假设我们有一个 PostService 类，其中包含了帖子的各种操作，包括删除帖子的方法。
@Service public class PostService { // 假设有一个方法用于检查帖子所有者 public boolean isOwner(Long postId, String username) { // 这里应该包含实际的业务逻辑来验证用户是否为帖子的所有者 // 为了简化，这里直接返回true return true; } // 删除帖子的方法 public void deletePost(Long postId) { // 删除帖子的逻辑... System.out.println("Post deleted successfully."); } }
步骤 2: 应用自定义权限验证
接下来，我们将在 PostService 的 deletePost 方法上应用自定义权限验证，以确保只有帖子的所有者才能删除帖子。
@Service public class PostService { @Autowired private SecurityService securityService; @PreAuthorize("@securityService.isOwner(#postId, authentication.principal.username)") public void deletePost(Long postId) { // 删除帖子的逻辑... } }
在这个例子中，@PreAuthorize 注解使用了 SpEL 表达式来引用 SecurityService 中的 isOwner 方法，并传入了帖子ID和当前认证用户的用户名作为参数，以验证当前用户是否有权删除该帖子。
步骤 3: 测试自定义权限验证
启动应用，并以不同用户身份尝试删除帖子。只有当用户为帖子的所有者时，删除操作才应该成功执行。
结合数据库进行权限验证
在更复杂的场景中，可能需要根据数据库中的信息来进行权限验证。例如，验证用户是否有权访问某个特定的资源。
步骤 1: 创建权限验证服务
假设我们有一个 PermissionService，它可以根据用户和资源ID来检查用户是否具有访问权限。
@Service public class PermissionService { public boolean hasPermission(String username, Long resourceId) { // 实现根据数据库信息检查用户是否有权访问资源的逻辑 // 为了简化，这里直接返回true return true; } }
步骤 2: 应用数据库权限验证
在需要进行权限验证的方法上使用 @PreAuthorize 注解，并调用 PermissionService 的方法来实现基于数据库的权限验证。
@Service public class ResourceService { @Autowired private PermissionService permissionService; @PreAuthorize("@permissionService.hasPermission(authentication.principal.username, #resourceId)") public void accessResource(Long resourceId) { // 访问资源的逻辑... } }
通过实现这些案例，你可以看到如何利用 Spring Security 提供的方法级安全特性和 SpEL 表达式，结合自定义逻辑和数据库信息来实现复杂的权限验证需求，从而为应用提供强大而灵活的安全保护。
4.3.4 拓展案例 2：基于返回值的后置授权
后置授权是一种在方法执行后基于其返回值来做出授权决策的机制。这种方式在需要根据操作结果来决定是否授权访问时非常有用，例如，只允许用户查看或修改他们自己创建的资源。
案例 Demo
假设我们正在开发一个任务管理应用，其中包含一个功能允许用户查看任务详情。我们希望确保用户只能查看他们自己创建的任务。
步骤 1: 创建任务实体和服务
首先，假设我们有一个 Task 实体，其中包含了任务的创建者信息。同时，我们有一个 TaskService 类，其中包含了获取任务详情的方法。
public class Task { private Long id; private String title; private String creator; // 创建者的用户名 // 构造器、getter和setter省略 } @Service public class TaskService { public Task getTaskDetails(Long taskId) { // 获取任务详情的逻辑，这里简化为直接返回一个示例任务 return new Task(taskId, "Example Task", "user1"); } }
步骤 2: 应用后置授权
在 TaskService 的 getTaskDetails 方法上使用 @PostAuthorize 注解来实现后置授权。这里我们根据返回的任务对象的创建者与当前认证用户的用户名进行比较，以确定是否允许访问。
@Service public class TaskService { @PostAuthorize("returnObject.creator == authentication.name") public Task getTaskDetails(Long taskId) { // 获取任务详情的逻辑 return new Task(taskId, "Example Task", "user1"); } }
步骤 3: 测试后置授权
启动应用，并以不同用户身份尝试获取任务详情。你会发现只有任务的创建者能够成功获取到任务详情，其他用户尝试访问时将会因为授权失败而被拒绝。
自定义后置处理逻辑
在某些情况下，你可能需要执行更复杂的后置处理逻辑，这时可以结合 @PostAuthorize 注解和自定义方法来实现。
步骤 1: 创建自定义后置处理服务
假设我们有一个 SecurityService，它提供了自定义的后置处理逻辑。
@Service public class SecurityService { public boolean customPostAuthorizeLogic(Task task) { // 实现自定义的后置处理逻辑，例如根据任务的某些属性进行复杂的校验 // 为了简化，这里直接返回true return true; } }
步骤 2: 结合自定义后置处理逻辑应用后置授权
在需要进行后置授权的方法上，结合 @PostAuthorize 注解和自定义的后置处理逻辑。
@Service public class TaskService { @Autowired private SecurityService securityService; @PostAuthorize("@securityService.customPostAuthorizeLogic(returnObject)") public Task getTaskDetails(Long taskId) { // 获取任务详情的逻辑 return new Task(taskId, "Example Task", "user1"); } }
通过使用基于返回值的后置授权和自定义后置处理逻辑，你可以实现复杂的安全需求，确保应用中的敏感操作和数据只对授权用户开放，从而提高应用的安全性。
