spring 权限控制如何写

fiy 1年前其他 49

共3条回复我来回复

不及物动词

这个人很懒，什么都没有留下～

Spring框架提供了多种方式来进行权限控制，下面列举了其中几种常见的方式：

基于注解的权限控制：
可以使用Spring Security框架提供的@PreAuthorize和@PostAuthorize注解，在方法或者类上进行权限控制的配置。首先，需要在Spring配置文件中引入Spring Security依赖，并配置权限表达式：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

然后，在需要进行权限控制的方法上添加注解，如：

@PreAuthorize("hasRole('ROLE_ADMIN')")
public void adminOnlyMethod() { 
    //只有具有ROLE_ADMIN角色的用户才能调用该方法
}

基于XML配置的权限控制：
可以使用Spring Security框架提供的标签，在XML配置文件中进行权限控制的配置。首先，需要在Spring配置文件中引入Spring Security依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

然后，在XML配置文件中使用标签定义权限：

<security:http>
    <security:intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
    <security:intercept-url pattern="/user/**" access="hasAnyRole('ROLE_USER', 'ROLE_ADMIN')" />
    <security:form-login login-page="/login" />
</security:http>

<security:authentication-manager>
    <security:authentication-provider>
        <security:user-service>
            <security:user name="admin" password="admin" authorities="ROLE_ADMIN" />
            <security:user name="user" password="user" authorities="ROLE_USER" />
        </security:user-service>
    </security:authentication-provider>
</security:authentication-manager>

基于URL模式的权限控制：
可以使用Spring MVC框架提供的Ant路径匹配规则，在Spring配置文件中配置权限控制规则。首先，在Spring配置文件中配置：

<mvc:interceptors>
    <mvc:interceptor>
        <mvc:mapping path="/admin/**"/>
        <mvc:interceptor-ref bean="adminInterceptor"/>
    </mvc:interceptor>
    <mvc:interceptor>
        <mvc:mapping path="/user/**"/>
        <mvc:interceptor-ref bean="userInterceptor"/>
    </mvc:interceptor>
</mvc:interceptors>

然后，编写拦截器实现权限校验逻辑：

@Component("adminInterceptor")
public class AdminInterceptor extends HandlerInterceptorAdapter {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String role = //获取当前用户角色
        if (!"ROLE_ADMIN".equals(role)) {
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            return false;
        }
        return true;
    }
}

@Component("userInterceptor")
public class UserInterceptor extends HandlerInterceptorAdapter {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String role = //获取当前用户角色
        if (!"ROLE_USER".equals(role) && !"ROLE_ADMIN".equals(role)) {
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            return false;
        }
        return true;
    }
}

以上是Spring框架中几种常见的权限控制方式，根据实际需求选择合适的方式来实现权限控制。

1年前 0条评论

worktile
Worktile官方账号
评论
在Spring框架中，权限控制可以通过多种方式来实现，下面是一种常见的实现方式：
1. Spring Security：Spring Security是Spring框架提供的一个强大的安全框架，用于实现认证和授权功能。它提供了基于URL、注解、表达式等多种方式来进行权限控制。可以通过在配置文件中定义角色和权限的映射关系，然后在代码中使用注解或者配置文件来限制用户的访问权限。
2. 自定义注解：可以通过定义自己的注解来进行权限控制，然后在代码中使用这些注解来限制用户的访问权限。通过自定义注解，可以在运行时动态地判断用户是否有权限访问特定的方法或者资源。
3. 拦截器：在Spring框架中，可以使用拦截器来拦截用户请求，并在拦截器中进行权限判断。通过在拦截器中根据用户的角色或权限对请求进行过滤，可以实现权限控制的功能。
4. AOP：通过使用Spring框架中的AOP（面向切面编程）功能，可以在方法执行之前或之后进行权限判断，并根据判断结果来决定是否执行方法或者返回相应的结果。通过将权限判断逻辑抽象成切面，可以实现权限控制的功能。
5. 数据库表设计：在数据库表设计中，可以通过在用户表中添加角色和权限字段来实现权限控制。然后在代码中根据用户的角色和权限来限制用户的访问权限。可以通过在代码中编写查询语句来判断用户是否有权限访问特定的方法或者资源。
综上所述，Spring框架提供了多种方式来实现权限控制，可以根据具体的需求和项目的特点选择合适的方式来进行权限控制的设计和实现。
1年前 0条评论
fiy
Worktile&PingCode市场小伙伴
评论
Spring权限控制是基于Spring Security框架实现的。通过Spring Security，我们可以在应用程序中实现基于角色或者资源的权限控制。下面将从方法和操作流程方面介绍如何在Spring中实现权限控制。
1. 添加Spring Security依赖
  首先，在项目的pom.xml文件中添加Spring Security的依赖。可以通过以下方式添加：
```
<dependencies>
    
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    
</dependencies>
```
1. 配置Spring Security
  在Spring的配置文件中，我们需要配置Spring Security的一些信息。可以使用Java配置类或者XML配置文件进行配置。
（1）使用Java配置类配置Spring Security

创建一个继承自WebSecurityConfigurerAdapter类的配置类，并重写configure()方法。示例代码如下：
```
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .and()
            .logout()
                .and()
            .csrf().disable();
    }
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
            .withUser("user").password(passwordEncoder().encode("password")).roles("USER")
            .and()
            .withUser("admin").password(passwordEncoder().encode("password")).roles("USER", "ADMIN");
    }
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}
```
上述代码中，通过重写configure()方法，我们可以定义应用程序的安全策略。在示例代码中，我们配置了两个用户，一个拥有ROLE_USER角色，一个拥有ROLE_ADMIN角色。具体的权限控制规则为：
- "/public/**" 路径下的资源允许所有用户访问。
- "/admin/**" 路径下的资源只允许拥有ROLE_ADMIN角色的用户访问。
- 其他路径下的资源只允许已认证的用户访问。
另外，通过configureGlobal()方法，我们创建了两个用户，并分配了相应的角色。

（2）使用XML配置文件配置Spring Security

使用XML配置文件进行配置的方法与上述Java配置类类似。示例代码如下：
```

<beans:bean id="securityConfig" class="com.example.SecurityConfig">
    <beans:property name="userDetailsService" ref="userDetailsService"/>
</beans:bean>

<beans:bean id="userDetailsService" class="org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl">
    <beans:property name="dataSource" ref="dataSource" />
</beans:bean>

<http auto-config="true">
    <intercept-url pattern="/public/**" access="permitAll"/>
    <intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')"/>
    <intercept-url pattern="/**" access="isAuthenticated()"/>
    <form-login />
    <logout />
    <csrf disabled="true"/>
</http>

<authentication-manager>
    <authentication-provider>
        <jdbc-user-service data-source-ref="dataSource" />
    </authentication-provider>
</authentication-manager>
```
上述代码中，通过配置<http>元素和<intercept-url>元素，我们定义了资源的访问控制策略。在示例代码中，配置的规则与Java配置类的示例相同。另外，通过<authentication-manager>和<jdbc-user-service>，我们定义了用户认证和授权的方式。
1. 配置页面级权限控制
  通过上述配置，我们已经可以对指定的URL进行权限控制，但是对于页面级的权限控制，我们还需要在页面模板中添加相应的处理逻辑。通常情况下，我们会在页面模板中判断当前用户的角色或权限，根据需要显示不同的内容。示例代码如下：
```
...
<% if(request.isUserInRole('ROLE_ADMIN')) { %>
    <p>Only administrators can see this content</p>
<% } else { %>
    <p>All authenticated users can see this content</p>
<% } %>
...
```
在上述示例代码中，我们使用了JSP模板中的标签来判断当前用户的角色，根据用户的角色显示不同的内容。

总结
通过以上步骤，我们就可以在Spring中实现权限控制。首先，我们需要添加Spring Security的依赖；然后，根据需要配置Spring Security；最后，在页面模板中添加相应的权限判断逻辑。这样就可以实现基于角色或资源的权限控制。
1年前 0条评论