在背景管理系統(tǒng)中，通常需要存取權(quán)限控制，以限制不同使用者對介面的存取能力。如果使用者缺乏特定權(quán)限，則無法存取某些介面。

本文將用 waynboot-mall 專案舉例，為大家介紹常見後管系統(tǒng)如何引入權(quán)限控制框架 Spring Security。大綱如下：

waynboot-mall 專案網(wǎng)址：https://github.com/wayn111/waynboot-mall

一、什麼是 Spring Security

Spring Security 是一個基於 Spring 框架的開源項目，旨在為 Java 應(yīng)用程式提供強大且靈活的安全解決方案。 Spring Security 提供了以下特性：

• 認證：支援多種認證機制，如表單登入、HTTP 基本認證、OAuth2、OpenID 等。
• 授權(quán)：支援基於角色或權(quán)限的存取控制，以及基於表達式的細粒度控制。
• 防護：提供了多種防護措施，例如防止會話固定、點擊劫持、跨站請求偽造等攻擊。
• 整合：與 Spring 框架和其他第三方程式庫和框架進行無縫集成，如 Spring MVC、Thymeleaf、Hibernate 等。

二、如何引進 Spring Security

在 waynboot-mall 專案中直接引入 spring-boot-starter-security 依賴，

org.springframework.boot
spring-boot-starter-security
3.1.0

三、如何設(shè)定 Spring Security

在 Spring Security 3.0 中要設(shè)定 Spring Security 跟以往是有些不同的，例如不在繼承 WebSecurityConfigurerAdapter。在 waynboot-mall 專案中，具體配置如下，

@Configuration
@EnableWebSecurity
@AllArgsConstructor
@EnableMethodSecurity(securedEnabled = true, jsr250Enabled = true)
public class SecurityConfig {
private UserDetailsServiceImpl userDetailsService;
private AuthenticationEntryPointImpl unauthorizedHandler;
private JwtAuthenticationTokenFilter jwtAuthenticationTokenFilter;
private LogoutSuccessHandlerImpl logoutSuccessHandler;

@Bean
public SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
httpSecurity
// cors啟用
.cors(httpSecurityCorsConfigurer -> {})
.csrf(AbstractHttpConfigurer::disable)
.sessionManagement(httpSecuritySessionManagementConfigurer -> {
httpSecuritySessionManagementConfigurer.sessionCreationPolicy(SessionCreationPolicy.STATELESS);
})
.exceptionHandling(httpSecurityExceptionHandlingConfigurer -> {
httpSecurityExceptionHandlingConfigurer.authenticationEntryPoint(unauthorizedHandler);
})
// 過濾請求
.authorizeHttpRequests(authorizationManagerRequestMatcherRegistry -> {
authorizationManagerRequestMatcherRegistry
.requestMatchers("/favicon.ico", "/login", "/favicon.ico", "/actuator/**").anonymous()
.requestMatchers("/slider/**").anonymous()
.requestMatchers("/captcha/**").anonymous()
.requestMatchers("/upload/**").anonymous()
.requestMatchers("/common/download**").anonymous()
.requestMatchers("/doc.html").anonymous()
.requestMatchers("/swagger-ui/**").anonymous()
.requestMatchers("/swagger-resources/**").anonymous()
.requestMatchers("/webjars/**").anonymous()
.requestMatchers("/*/api-docs").anonymous()
.requestMatchers("/druid/**").anonymous()
.requestMatchers("/elastic/**").anonymous()
.requestMatchers("/message/**").anonymous()
.requestMatchers("/ws/**").anonymous()
// 除上面外的所有請求全部需要鑒權(quán)認證
.anyRequest().authenticated();
})
.headers(httpSecurityHeadersConfigurer -> {
httpSecurityHeadersConfigurer.frameOptions(HeadersConfigurer.FrameOptionsConfig::disable);
});
// 處理跨域請求中的Preflight請求(cors)，設(shè)置corsConfigurationSource后無需使用
// .requestMatchers(CorsUtils::isPreFlightRequest).permitAll()
// 對于登錄login 驗證碼captchaImage 允許匿名訪問

httpSecurity.logout(httpSecurityLogoutConfigurer -> {
httpSecurityLogoutConfigurer.logoutUrl("/logout");
httpSecurityLogoutConfigurer.logoutSuccessHandler(logoutSuccessHandler);
});
// 添加JWT filter
httpSecurity.addFilterBefore(jwtAuthenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);
// 認證用戶時用戶信息加載配置，注入springAuthUserService
httpSecurity.userDetailsService(userDetailsService);
return httpSecurity.build();
}
@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authenticationConfiguration) throws Exception {
return authenticationConfiguration.getAuthenticationManager();
}
/**
 * 強散列哈希加密實現(xiàn)
 */
@Bean
public BCryptPasswordEncoder bCryptPasswordEncoder() {
return new BCryptPasswordEncoder();
}
}

這裡詳細介紹下 SecurityConfig 設(shè)定類別：

• filterChain(HttpSecurity httpSecurity) 方法是存取控制的核??心方法，這裡面可以針對 url 設(shè)定是否需要權(quán)限認證、cors 設(shè)定、csrf 設(shè)定、使用者資訊載入設(shè)定、jwt 過濾器攔截設(shè)定等眾多功能。
• authenticationManager(AuthenticationConfiguration authenticationConfiguration) 方法適用於啟用認證接口，需要手動聲明，否則啟動報錯。
• bCryptPasswordEncoder() 方法使用者定義使用者登入時的密碼加密策略，需要手動聲明，否則啟動報錯。

四、如何使用 Spring Security

要使用 Spring Security，只需要在需要控制存取權(quán)的方法或類別上新增對應(yīng)的 @PreAuthorize 註解即可，如下，

@Slf4j
@RestController
@AllArgsConstructor
@RequestMapping("system/role")
public class RoleController extends BaseController {

private IRoleService iRoleService;

@PreAuthorize("@ss.hasPermi('system:role:list')")
@GetMapping("/list")
public R list(Role role) {
Page page = getPage();
return R.success().add("page", iRoleService.listPage(page, role));
}
}

我們在list 方法上加了?@PreAuthorize(“@ss.hasPermi('system:role:list')”)?註解表示目前登入使用者擁有system:role:list 權(quán)限才能存取list 方法，否則回傳權(quán)限錯誤。

五、取得目前登入使用者權(quán)限

在 SecurityConfig 設(shè)定類別中我們定義了 UserDetailsS??erviceImpl 作為我們的使用者資訊載入的實作類，從而透過讀取資料庫中使用者的帳號、密碼與前端傳入的帳號、密碼進行比對。程式碼如下，

@Slf4j
@Service
@AllArgsConstructor
public class UserDetailsServiceImpl implements UserDetailsService {

private IUserService iUserService;

private IDeptService iDeptService;

private PermissionService permissionService;

public static void main(String[] args) {
BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder();
System.out.println(bCryptPasswordEncoder.encode("123456"));
}

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
// 1. 讀取數(shù)據(jù)庫中當前用戶信息
User user = iUserService.getOne(new QueryWrapper().eq("user_name", username));
// 2. 判斷該用戶是否存在
if (user == null) {
log.info("登錄用戶：{} 不存在.", username);
throw new UsernameNotFoundException("登錄用戶：" + username + " 不存在");
}
// 3. 判斷是否禁用
if (Objects.equals(UserStatusEnum.DISABLE.getCode(), user.getUserStatus())) {
log.info("登錄用戶：{} 已經(jīng)被停用.", username);
throw new DisabledException("登錄用戶：" + username + " 不存在");
}
user.setDept(iDeptService.getById(user.getDeptId()));
// 4. 獲取當前用戶的角色信息
Set rolePermission = permissionService.getRolePermission(user);
// 5. 根據(jù)角色獲取權(quán)限信息
Set menuPermission = permissionService.getMenuPermission(rolePermission);
return new LoginUserDetail(user, menuPermission);
}
}

針對 UserDetailsS??erviceImpl 的程式碼邏輯進行一個講解，大家可以配合程式碼理解。

• 讀取資料庫中目前使用者資訊
• 判斷該使用者是否存在
• 判斷是否停用
• 取得目前使用者的角色資訊
• 根據(jù)角色取得權(quán)限資訊

總結(jié)一下

本文告訴大家來說明了後管系統(tǒng)如何引入權(quán)限控制框架 Spring Security 3.0 版本以及程式碼實戰(zhàn)。相信能幫助大家對權(quán)限控制框架 Spring Security 有一個清晰的理解。後續(xù)大家可以按照本文的使用指南一步一步將 Spring Security 引入的自己的專案中用於存取權(quán)限控制。

以上是Spring Security權(quán)限控制框架使用指南的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！