用Spring Security快速实现 RBAC模型案例

RBAC模型通常是指“基于角色的访问控制”（Role-Based Access Control，RBAC）模型。这是一种广泛使用的访问控制机制，用于限制用户或系统对计算机或网络资源的访问。在RBAC模型中，权限与角色相关联，用户通过分配角色来获得相应的权限，而不是直接将权限分配给用户。

下面 V 哥教你一步一步来实现 RABC 模型，你可以使用这个案例根据实际需求应用到你的项目中。

RBAC模型的主要组成部分包括：

• 用户（Users）：系统中的个体，可以是人、程序或设备。
• 角色（Roles）：定义在系统中的工作或责任的抽象。例如，“管理员”、“普通用户”、“访客”等。
• 权限（Permissions）：对系统资源的访问许可。例如，读、写、修改等操作。
• 会话（Sessions）：用户与系统交互的时期，用户可以在会话中激活其角色并获得相应的权限。
• 角色分配（Role Assignments）：将用户与角色相关联的过程。
• 权限分配（Permission Assignments）：将权限与角色相关联的过程。
• 角色层次（Role Hierarchy）：如果一组角色之间存在层次关系，可以形成角色层次，允许高级角色继承低级角色的权限。

RBAC模型的实施能够简化权限管理，使得权限的变更更为灵活，便于在大型组织中实施和维护。例如，如果一个用户的工作职责发生变化，只需要改变其角色，就可以自动调整其权限，而不需要逐个修改其权限设置。

在实施时，组织通常会根据自身的业务需求定制角色和权限，确保系统的安全性和用户的便利性。在中国，许多企业和政府部门都采用了基于角色的访问控制模型来提升信息系统的安全性和管理效率。

在Java Spring Security中实现RBAC模型通常涉及以下步骤：

• 定义用户（User）和角色（Role）实体。
• 配置Spring Security以使用自定义的UserDetailsService。
• 创建角色和权限，并将它们分配给用户。
• 配置Spring Security的WebSecurityConfigurerAdapter以使用角色进行访问控制。

import javax.persistence.*;
import java.util.HashSet;
import java.util.Set;

@Entity
@Table(name = "users")
public class User {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id")
    )
    private Set<Role> roles = new HashSet<>();

    // Getters and Setters
}

@Entity
@Table(name = "roles")
public class Role {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

接下来，创建一个UserDetailsService的实现，用于加载用户和他们的权限：

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                mapRolesToAuthorities(user.getRoles())
        );
    }

    private Collection<? extends GrantedAuthority> mapRolesToAuthorities(Collection<Role> roles) {
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

然后，配置Spring Security的WebSecurityConfigurerAdapter：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   

    private final CustomUserDetailsService customUserDetailsService;

    public SecurityConfig(CustomUserDetailsService customUserDetailsService) {
   
        this.customUserDetailsService = customUserDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/").permitAll()
                .and()
            .formLogin();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }
}

在这个配置中，我们定义了不同URL路径的访问权限，例如/admin/只允许具有ADMIN角色的用户访问，而/user/则允许USER和ADMIN角色的用户访问。

最后，你需要创建一个Spring Data JPA的Repository来处理用户和角色的数据持久化：

public interface UserRepository extends JpaRepository<User, Long> {
   
    Optional<User> findByUsername(String username);
}

这个示例提供了一个基础的RBAC实现，实际应用中可能需要更复杂的角色和权限管理，以及与业务逻辑更紧密的集成。在实际部署时，还需要考虑加密用户密码、处理用户登录和注销、以及可能的安全漏洞。

首先，定义用户和角色实体：

import javax.persistence.*;
import java.util.HashSet;
import java.util.Set;

@Entity
@Table(name = "users")
public class User {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(
            name = "user_roles",
            joinColumns = @JoinColumn(name = "user_id"),
            inverseJoinColumns = @JoinColumn(name = "role_id")
    )
    private Set<Role> roles = new HashSet<>();

    // Getters and Setters
}

@Entity
@Table(name = "roles")
public class Role {
   
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

接下来，创建一个UserDetailsService的实现，用于加载用户和他们的权限：

import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class CustomUserDetailsService implements UserDetailsService {
   

    private final UserRepository userRepository;

    public CustomUserDetailsService(UserRepository userRepository) {
   
        this.userRepository = userRepository;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
   
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                mapRolesToAuthorities(user.getRoles())
        );
    }

    private Collection<? extends GrantedAuthority> mapRolesToAuthorities(Collection<Role> roles) {
   
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority(role.getName()))
                .collect(Collectors.toList());
    }
}

然后，配置Spring Security的WebSecurityConfigurerAdapter：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   

    private final CustomUserDetailsService customUserDetailsService;

    public SecurityConfig(CustomUserDetailsService customUserDetailsService) {
   
        this.customUserDetailsService = customUserDetailsService;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   
        auth.userDetailsService(customUserDetailsService)
                .passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/").permitAll()
                .and()
            .formLogin();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
   
        return new BCryptPasswordEncoder();
    }
}

在这个配置中，我们定义了不同URL路径的访问权限，例如/admin/**只允许具有ADMIN角色的用户访问，而/user/**则允许USER和ADMIN角色的用户访问。

最后，你需要创建一个Spring Data JPA的Repository来处理用户和角色的数据持久化：

public interface UserRepository extends JpaRepository<User, Long> {
   
    Optional<User> findByUsername(String username);
}

这个示例提供了一个基础的RBAC实现，实际应用中可能需要更复杂的角色和权限管理，以及与业务逻辑更紧密的集成。在实际部署时，还需要考虑加密用户密码、处理用户登录和注销、以及可能的安全漏洞。

最后

这是一个简单的 RBAC 模型案例，通过这个案例，你可以了解 RBAC 模型的实现步骤，应用在你的实际项目中，当然你需要考虑实际项目中的具体需求和逻辑来改造这个案例，你学会了吗。