Spring Security 源码分析（三）【授权流程】

淩亂°似流年 2023-07-24 14:55 42阅读 0赞

>  *  Spring Security 源码分析（一）【结构总览】：[https://yuanyu.blog.csdn.net/article/details/105469059][https_yuanyu.blog.csdn.net_article_details_105469059]
>  *  Spring Security 源码分析（二）【认证流程】：[https://yuanyu.blog.csdn.net/article/details/105467422][https_yuanyu.blog.csdn.net_article_details_105467422]

--------------------

# 1 授权流程  #

> 通过快速上手我们知道，Spring Security可以通过 http.authorizeRequests() 对web请求进行授权保护；Spring Security使用标准Filter建立了对web请求的拦截，最终实现对资源的授权访问

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNzk0OTcz_size_16_color_FFFFFF_t_70][] Spring Security的授权流程

> 分析授权流程：
> 
>  *  1.拦截请求，已认证用户访问受保护的web资源将被SecurityFilterChain中的FilterSecurityInterceptor的子类拦截
>  *  2.获取资源访问策略，FilterSecurityInterceptor会从SecurityMetadataSource的子类 DefaultFilterInvocationSecurityMetadataSource获取要访问当前资源所需要的权限Collection<ConfigAttribute>；SecurityMetadataSource其实就是读取访问策略的抽象，而读取的内容，其实就是我们配置的访问规则

//读取访问策略如：
    @Configuration
    @EnableWebSecurity  //启动SpringSecurity过滤器链
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        	http.authorizeRequests()
        			.antMatchers("/r/r1").hasAuthority("p1")
        			.antMatchers("/r/r2").hasAuthority("p2")
        			.antMatchers("/r/**").authenticated()//所有 /r/** 的请求必须认证通过
        			.anyRequest().permitAll()//除了 /r/** ，其它的请求可以访问
        			//...

>  *  3. 最后，FilterSecurityInterceptor会调用 AccessDecisionManager 进行授权决策，若决策通过，则允许访问资 源，否则将禁止访问
> 
> AccessDecisionManager（访问决策管理器）的核心接口如下:

public interface AccessDecisionManager {
        /**
        * 通过传递的参数来决定用户是否有访问对应受保护资源的权限
        * @param authentication 用户所拥有的权限
        * @param configAttributes 资源所要求的权限
        */
        void decide(Authentication authentication , Object object, Collection<ConfigAttribute> configAttributes ) ;
        //略..
    }

> 这里着重说明一下decide的参数：
> 
>  *  authentication：要访问资源的访问者的身份
>  *  object：要访问的受保护资源，web请求对应FilterInvocation
>  *  configAttributes：是受保护资源的访问策略，通过SecurityMetadataSource获取
> 
> **decide接口就是用来鉴定当前用户是否有访问对应受保护资源的权限**

--------------------

# 2 授权决策  #

> AccessDecisionManager采用投票的方式来确定是否能够访问受保护资源

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNzk0OTcz_size_16_color_FFFFFF_t_70 1][]

> 通过上图可以看出，AccessDecisionManager中包含的一系列AccessDecisionVoter将会被用来对Authentication 是否有权访问受保护对象进行投票，AccessDecisionManager根据投票结果，做出最终决策
> 
> AccessDecisionVoter是一个接口，其中定义有三个方法，具体结构如下所示

//org.springframework.security.access.AccessDecisionVoter
    public interface AccessDecisionVoter<S> {
    	int ACCESS_GRANTED = 1;
    	int ACCESS_ABSTAIN = 0;
    	int ACCESS_DENIED = -1;
    	boolean supports(ConfigAttribute attribute);
    	boolean supports(Class<?> clazz);
    	int vote(Authentication authentication, S object, Collection<ConfigAttribute> attributes);
    }

> vote()方法的返回结果会是AccessDecisionVoter中定义的三个常量之一；ACCESS\_GRANTED表示同意， ACCESS\_DENIED表示拒绝，ACCESS\_ABSTAIN表示弃权；如果一个AccessDecisionVoter不能判定当前 Authentication是否拥有访问对应受保护对象的权限，则其vote()方法的返回值应当为弃权ACCESS\_ABSTAIN

> Spring Security内置了三个基于投票的AccessDecisionManager实现类如下，它们分别是 AffirmativeBased、ConsensusBased和UnanimousBased
> 
> --------------------
> 
> AffirmativeBased（一票通过）的逻辑是（Spring security默认使用的是AffirmativeBased）
> 
> 1.  只要有AccessDecisionVoter的投票为ACCESS\_GRANTED则同意用户进行访问
> 2.  如果全部弃权也表示通过
> 3.  如果没有一个人投赞成票，但是有人投反对票，则将抛出AccessDeniedException
> 
> --------------------
> 
> ConsensusBased（少数服从多少）的逻辑是：
> 
> 1.  如果赞成票多于反对票则表示通过
> 2.  反过来，如果反对票多于赞成票则将抛出AccessDeniedException
> 3.  如果赞成票与反对票相同且不等于0，并且属性allowIfEqualGrantedDeniedDecisions的值为true，则表 示通过，否则将抛出异常AccessDeniedException；参数allowIfEqualGrantedDeniedDecisions的值默认为true
> 4.  如果所有的AccessDecisionVoter都弃权了，则将视参数allowIfAllAbstainDecisions的值而定，如果该值 为true则表示通过，否则将抛出异常AccessDeniedException；参数allowIfAllAbstainDecisions的值默认为false
> 
> --------------------
> 
> UnanimousBased（全票通过）的逻辑与另外两种实现有点不一样，另外两种会一次性把受保护对象的配置属性全部传递给AccessDecisionVoter进行投票，而UnanimousBased会一次只传递一个ConfigAttribute给 AccessDecisionVoter进行投票；这也就意味着如果我们的AccessDecisionVoter的逻辑是只要传递进来的 ConfigAttribute中有一个能够匹配则投赞成票，但是放到UnanimousBased中其投票结果就不一定是赞成了； UnanimousBased的逻辑具体来说是这样的：
> 
> 1.  如果受保护对象配置的某一个ConfigAttribute被任意的AccessDecisionVoter反对了，则将抛出 AccessDeniedException
> 2.  如果没有反对票，但是有赞成票，则表示通过
> 3.  如果全部弃权了，则将视参数allowIfAllAbstainDecisions的值而定，true则通过，false则抛出 AccessDeniedException；Spring Security也内置一些投票者实现类如RoleVoter、AuthenticatedVoter和WebExpressionVoter等，可以 自行查阅资料进行学习

//org.springframework.security.access.AccessDecisionManager
    public interface AccessDecisionManager {
    	void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes);
    	boolean supports(ConfigAttribute attribute);
    	boolean supports(Class<?> clazz);
    }

//org.springframework.security.access.vote.AffirmativeBased#decide
    /**
    * @param authentication 用户所拥有的权限
    * @param configAttributes 资源访问所要求的权限
    */
    public void decide(Authentication authentication, Object object, //打断点
    		Collection<ConfigAttribute> configAttributes) throws AccessDeniedException {
    	int deny = 0;
    	//投票
    	for (AccessDecisionVoter voter : getDecisionVoters()) {
    		int result = voter.vote(authentication, object, configAttributes);

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNzk0OTcz_size_16_color_FFFFFF_t_70 2][]

[https_yuanyu.blog.csdn.net_article_details_105469059]: https://yuanyu.blog.csdn.net/article/details/105469059
[https_yuanyu.blog.csdn.net_article_details_105467422]: https://yuanyu.blog.csdn.net/article/details/105467422
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNzk0OTcz_size_16_color_FFFFFF_t_70]: /images/20230528/a488923f0b1a4569a39766b70e1a173f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNzk0OTcz_size_16_color_FFFFFF_t_70 1]: /images/20230528/28554c4e56604287a790a0f62c4a63d1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNzk0OTcz_size_16_color_FFFFFF_t_70 2]: /images/20230528/e8023e8af12f46d7a59fefbfa9467408.png