Security启用@EnableGlobalMethodSecurity实现API接口权限校验

Bertha 。 2022-12-28 04:16 92阅读 0赞

基于token的校验方式通常是作用于一个服务或应用范围，在一个应用内继续进行更细粒度的权限校验控制，就是实现用户对某个接口的调用权限控制。

# @EnableGlobalMethodSecurity #

Security应用中的@Configuration实例上添加@EnableGlobalMethodSecurity 注解开启注解权限控制功能。

@EnableGlobalMethodSecurity(prePostEnabled = true)

其实这个注解为我们提供了**prePostEnabled** 、**securedEnabled** 和 **jsr250Enabled** 三种不同的机制来实现更细粒度的权限控制。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzI5NTY5MTgz_size_16_color_FFFFFF_t_70][]

## prePostEnabled说明 ##

**prePostEnabled = true** 会启用**@PreAuthorize** 和 **@PostAuthorize** 两个注解。了解两个注解的作用时机，就可以选用合适的注解实现权限控制。

> @PreAuthorize： 在方法执行前进行验证
> 
> @PostAuthorize： 在方法执行后进行验证。

### @PreAuthorize使用 ###

下面这个实例就表示在调用*/menu*这个接口时，方法执行前会校验当前用户是否有*manage:delete/menu* 这个权限。至于校验的权限内容依据通常是Security中UserDetails接口实例对象的权限信息，也就是用户在登录时赋予的权限。

@PostMapping("/menu")
    @PreAuthorize("hasAuthority('manage:delete/menu')")
    public Result deleteMenu(@RequestBody Map<String,Object> params) {...}

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzI5NTY5MTgz_size_16_color_FFFFFF_t_70]: /images/20221120/242ebc5f2e9142e3bca20b9e7f9e654f.png