用Spring Security快速实现 RBAC模型案例

本文涉及的产品
访问控制,不限时长
简介: RBAC模型是一种常见的权限管理机制,它将权限赋予角色而非用户,用户通过角色获取权限。主要组件包括用户、角色、权限、会话、角色分配和权限分配。RBAC简化了权限管理,方便权限变更,常用于大型组织。

RBAC模型通常是指“基于角色的访问控制”(Role-Based Access Control,RBAC)模型。这是一种广泛使用的访问控制机制,用于限制用户或系统对计算机或网络资源的访问。在RBAC模型中,权限与角色相关联,用户通过分配角色来获得相应的权限,而不是直接将权限分配给用户。

下面 V 哥教你一步一步来实现 RABC 模型,你可以使用这个案例根据实际需求应用到你的项目中。

RBAC模型的主要组成部分包括:

  • 用户(Users):系统中的个体,可以是人、程序或设备。
  • 角色(Roles):定义在系统中的工作或责任的抽象。例如,“管理员”、“普通用户”、“访客”等。
  • 权限(Permissions):对系统资源的访问许可。例如,读、写、修改等操作。
  • 会话(Sessions):用户与系统交互的时期,用户可以在会话中激活其角色并获得相应的权限。
  • 角色分配(Role Assignments):将用户与角色相关联的过程。
  • 权限分配(Permission Assignments):将权限与角色相关联的过程。
  • 角色层次(Role Hierarchy):如果一组角色之间存在层次关系,可以形成角色层次,允许高级角色继承低级角色的权限。

RBAC模型的实施能够简化权限管理,使得权限的变更更为灵活,便于在大型组织中实施和维护。例如,如果一个用户的工作职责发生变化,只需要改变其角色,就可以自动调整其权限,而不需要逐个修改其权限设置。

在实施时,组织通常会根据自身的业务需求定制角色和权限,确保系统的安全性和用户的便利性。在中国,许多企业和政府部门都采用了基于角色的访问控制模型来提升信息系统的安全性和管理效率。

在Java Spring Security中实现RBAC模型通常涉及以下步骤:

  • 定义用户(User)和角色(Role)实体。
  • 配置Spring Security以使用自定义的UserDetailsService。
  • 创建角色和权限,并将它们分配给用户。
  • 配置Spring Security的WebSecurityConfigurerAdapter以使用角色进行访问控制。
import javax.persistence.*;
import java.util.HashSet;
import java.util.Set;

@Entity
@Table(name = "users")
public class User {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id")
    )
    private Set<Role> roles = new HashSet<>();

    // Getters and Setters
}

@Entity
@Table(name = "roles")
public class Role {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

接下来,创建一个UserDetailsService的实现,用于加载用户和他们的权限:

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                mapRolesToAuthorities(user.getRoles())
        );
    }

    private Collection<? extends GrantedAuthority> mapRolesToAuthorities(Collection<Role> roles) {
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

然后,配置Spring Security的WebSecurityConfigurerAdapter:

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   

    private final CustomUserDetailsService customUserDetailsService;

    public SecurityConfig(CustomUserDetailsService customUserDetailsService) {
   
        this.customUserDetailsService = customUserDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/").permitAll()
                .and()
            .formLogin();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }
}

在这个配置中,我们定义了不同URL路径的访问权限,例如/admin/只允许具有ADMIN角色的用户访问,而/user/则允许USER和ADMIN角色的用户访问。

最后,你需要创建一个Spring Data JPA的Repository来处理用户和角色的数据持久化:

public interface UserRepository extends JpaRepository<User, Long> {
   
    Optional<User> findByUsername(String username);
}

这个示例提供了一个基础的RBAC实现,实际应用中可能需要更复杂的角色和权限管理,以及与业务逻辑更紧密的集成。在实际部署时,还需要考虑加密用户密码、处理用户登录和注销、以及可能的安全漏洞。

首先,定义用户和角色实体:

import javax.persistence.*;
import java.util.HashSet;
import java.util.Set;

@Entity
@Table(name = "users")
public class User {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id")
    )
    private Set<Role> roles = new HashSet<>();

    // Getters and Setters
}

@Entity
@Table(name = "roles")
public class Role {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

接下来,创建一个UserDetailsService的实现,用于加载用户和他们的权限:

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {
   

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
   
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
   
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                mapRolesToAuthorities(user.getRoles())
        );
    }

    private Collection<? extends GrantedAuthority> mapRolesToAuthorities(Collection<Role> roles) {
   
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

然后,配置Spring Security的WebSecurityConfigurerAdapter:

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   

    private final CustomUserDetailsService customUserDetailsService;

    public SecurityConfig(CustomUserDetailsService customUserDetailsService) {
   
        this.customUserDetailsService = customUserDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/").permitAll()
                .and()
            .formLogin();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }
}

在这个配置中,我们定义了不同URL路径的访问权限,例如/admin/**只允许具有ADMIN角色的用户访问,而/user/**则允许USER和ADMIN角色的用户访问。

最后,你需要创建一个Spring Data JPA的Repository来处理用户和角色的数据持久化:

public interface UserRepository extends JpaRepository<User, Long> {
   
    Optional<User> findByUsername(String username);
}

这个示例提供了一个基础的RBAC实现,实际应用中可能需要更复杂的角色和权限管理,以及与业务逻辑更紧密的集成。在实际部署时,还需要考虑加密用户密码、处理用户登录和注销、以及可能的安全漏洞。

最后

这是一个简单的 RBAC 模型案例,通过这个案例,你可以了解 RBAC 模型的实现步骤,应用在你的实际项目中,当然你需要考虑实际项目中的具体需求和逻辑来改造这个案例,你学会了吗。

相关实践学习
消息队列+Serverless+Tablestore:实现高弹性的电商订单系统
基于消息队列以及函数计算,快速部署一个高弹性的商品订单系统,能够应对抢购场景下的高并发情况。
云安全基础课 - 访问控制概述
课程大纲 课程目标和内容介绍视频时长 访问控制概述视频时长 身份标识和认证技术视频时长 授权机制视频时长 访问控制的常见攻击视频时长
相关文章
|
12天前
|
安全 Java 数据安全/隐私保护
使用Spring Security实现细粒度的权限控制
使用Spring Security实现细粒度的权限控制
|
12天前
|
安全 Java 数据库
实现基于Spring Security的权限管理系统
实现基于Spring Security的权限管理系统
|
12天前
|
安全 Java 数据安全/隐私保护
解析Spring Security中的权限控制策略
解析Spring Security中的权限控制策略
|
11天前
|
人工智能 移动开发 Java
Java智能之Spring AI:5分钟打造智能聊天模型的利器
尽管Python最近成为了编程语言的首选,但是Java在人工智能领域的地位同样不可撼动,得益于强大的Spring框架。随着人工智能技术的快速发展,我们正处于一个创新不断涌现的时代。从智能语音助手到复杂的自然语言处理系统,人工智能已经成为了现代生活和工作中不可或缺的一部分。在这样的背景下,Spring AI 项目迎来了发展的机遇。尽管该项目汲取了Python项目如LangChain和LlamaIndex的灵感,但Spring AI并不是简单的移植。该项目的初衷在于推进生成式人工智能应用程序的发展,使其不再局限于Python开发者。
27 2
|
13天前
|
安全 Java 数据安全/隐私保护
使用Spring Security实现细粒度的权限控制
使用Spring Security实现细粒度的权限控制
|
17天前
|
安全 Java 数据安全/隐私保护
使用Java和Spring Security实现身份验证与授权
使用Java和Spring Security实现身份验证与授权
|
19天前
|
存储 安全 Java
Spring Security在企业级应用中的应用
Spring Security在企业级应用中的应用
|
20天前
|
存储 安全 Java
Spring Security与OAuth2集成开发
Spring Security与OAuth2集成开发
|
18天前
|
前端开发 Java 数据库连接
Spring6(一):入门案例
Spring6(一):入门案例
11 0
|
23天前
|
XML Java 数据库
Spring5系列学习文章分享---第五篇(事务概念+特性+案例+注解声明式事务管理+参数详解 )
Spring5系列学习文章分享---第五篇(事务概念+特性+案例+注解声明式事务管理+参数详解 )
16 0