后端进阶之路——Spring Security构建强大的身份验证和授权系统（四）

￡神魔★判官ぃ 2023-10-14 13:47 10阅读 0赞

# 前言 #

![在这里插入图片描述][0422b4369a3549b3a39da19588ab88f4.png]  
「作者主页」：[雪碧有白泡泡][Link 1]  
「个人网站」：[雪碧的个人网站][Link 2]  
「推荐专栏」：

> ★[java一站式服务][java] ★  
> ★[前端炫酷代码分享][Link 3]  
> ★ ★ [uniapp-从构建到提升][uniapp-]★  
> ★ [从0到英雄，vue成神之路][0_vue]★  
> ★ [解决算法，一个专栏就够了][Link 4]★  
> ★ [架构咱们从0说][0]★  
> ★ [数据流通的精妙之道][Link 5]★
> 
> ★[后端进阶之路][Link 6]★

![请添加图片描述][c7f3e6b8a7624a9eabbea77dbcbca119.jpeg]

### 文章目录 ###

*  前言
 *  1. 自定义认证和授权逻辑
 *   *  1.1 实现自定义的UserDetailsService接口
     *  1.2 扩展AbstractSecurityInterceptor类以自定义访问控制
 *  2. Spring Security注解
 *   *  @PreAuthorize
     *  @PostAuthorize
     *  @Secured
     *  @PreFilter
 *  5. 总结

![在这里插入图片描述][0ea0b4e6ee9248eeb0504b82f17a2394.png]

# 1. 自定义认证和授权逻辑 #

在Spring Security中，我们可以自定义认证和授权逻辑来满足特定的需求。以下是两种常见的方法：

## 1.1 实现自定义的UserDetailsService接口 ##

> 通过实现自定义的UserDetailsService接口，我们可以从数据库、LDAP或其他数据源中加载用户信息并进行认证。

@Service
    public class CustomUserDetailsService implements UserDetailsService {
        
    
        @Autowired
        private UserRepository userRepository;
    
        @Override
        public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        
            User user = userRepository.findByUsername(username);
            if (user == null) {
        
                throw new UsernameNotFoundException("User not found with username: " + username);
            }
            // 构建UserDetails对象并返回（通常使用User实体类的实例）
            return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(),
                    user.isEnabled(), user.isAccountNonExpired(), user.isCredentialsNonExpired(),
                    user.isAccountNonLocked(), user.getAuthorities());
        }
    }

上述代码中，我们使用自定义的UserRepository从数据库中获取用户实体对象，并构建一个实现UserDetails接口的UserDetails对象。

## 1.2 扩展AbstractSecurityInterceptor类以自定义访问控制 ##

> 通过扩展AbstractSecurityInterceptor类，我们可以实现基于自定义表达式的访问控制逻辑。

public class CustomSecurityInterceptor extends AbstractSecurityInterceptor implements Filter {
        
    
        // 通过注入自定义的AccessDecisionManager和AuthenticationManager实现类
        @Override
        public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
                throws IOException, ServletException {
        
            HttpServletRequest httpRequest = (HttpServletRequest) request;
            HttpServletResponse httpResponse = (HttpServletResponse) response;
            
            // 创建FilterInvocation对象，表示当前过滤器链的调用
            FilterInvocation filterInvocation = new FilterInvocation(httpRequest, httpResponse, chain);
            // 执行授权过程
            invoke(filterInvocation);
        }
        
        @Override
        public Class<?> getSecureObjectClass() {
        
            return FilterInvocation.class;
        }
        
        @Override
        public SecurityMetadataSource obtainSecurityMetadataSource() {
        
            return null;
        }
    
        // 调用AccessDecisionManager执行访问控制逻辑
        @Override
        public void invoke(FilterInvocation fi) throws IOException, ServletException {
        
            InterceptorStatusToken token = super.beforeInvocation(fi);
            
            try {
        
                // 执行下一个拦截器
                fi.getChain().doFilter(fi.getRequest(), fi.getResponse());
            } finally {
        
                super.afterInvocation(token, null);
            }
        }
    }

上述代码中，我们通过扩展AbstractSecurityInterceptor类，并实现其相关方法，来自定义访问控制的逻辑。其中，invoke方法用于执行访问控制的逻辑，并调用AccessDecisionManager进行访问决策。

# 2. Spring Security注解 #

> Spring Security提供了一系列注解，用于在代码中进行细粒度的权限控制和安全保护。以下是常用的注解及其作用：

## @PreAuthorize ##

`@PreAuthorize`注解用于在方法执行之前对方法的调用进行权限验证。

@PreAuthorize("hasRole('ROLE_ADMIN')")
    public void adminOnlyMethod() {
        
        // 只有具有ROLE_ADMIN角色的用户才能执行该方法
    }

上述代码中，只有具有`ROLE_ADMIN`角色的用户才能成功调用`adminOnlyMethod()`方法。

## @PostAuthorize ##

`@PostAuthorize`注解用于在方法执行之后对方法的返回值进行权限验证。

@PostAuthorize("returnObject.author == principal.username")
    public Book getBook(String bookId) {
        
        // 根据bookId获取书籍对象，并返回
    }

上述代码中，`getBook()`方法返回的Book对象将被验证，只有当Book对象的author与当前登录用户的用户名相同时，才能成功返回。

## @Secured ##

`@Secured`注解用于对方法进行角色验证。

@Secured("ROLE_ADMIN")
    public void adminOnlyMethod() {
        
        // 只有具有ROLE_ADMIN角色的用户才能执行该方法
    }

上述代码中，只有具有`ROLE_ADMIN`角色的用户才能成功调用`adminOnlyMethod()`方法。

## @PreFilter ##

`@PreFilter`注解用于在方法执行之前对方法的参数进行过滤，并对满足条件的参数进行权限验证。

@PreFilter("hasRole('ROLE_ADMIN') or filterObject.userId == principal.username")
    public void updateUserInfo(List<User> userList) {
        
        // 根据userId更新用户信息
    }

上述代码中，`updateUserInfo()`方法的`userList`参数将被过滤，只有其中的元素满足`hasRole('ROLE_ADMIN') or filterObject.userId == principal.username`条件才能执行相应操作。

# 5. 总结 #

> 综上所述，SpringSecurity提供了灵活的机制来自定义认证和授权逻辑，并通过注解提供了便捷的方式来实现细粒度的权限控制。结合这些功能，我们可以构建安全可靠的应用程序。  
> ![在这里插入图片描述][eca29ba21dc740e99b713f9e0f15199d.png]

[0422b4369a3549b3a39da19588ab88f4.png]: https://img-blog.csdnimg.cn/0422b4369a3549b3a39da19588ab88f4.png
[Link 1]: https://blog.csdn.net/Why_does_it_work?spm=1011.2415.3001.5343
[Link 2]: https://sprite.inscode.cc/
[java]: https://blog.csdn.net/why_does_it_work/category_12379581.html
[Link 3]: https://blog.csdn.net/why_does_it_work/category_12378617.html
[uniapp-]: https://blog.csdn.net/why_does_it_work/category_12363697.html
[0_vue]: https://blog.csdn.net/why_does_it_work/category_12376654.html
[Link 4]: https://blog.csdn.net/why_does_it_work/category_12381051.html
[0]: https://blog.csdn.net/why_does_it_work/category_12381055.html
[Link 5]: https://blog.csdn.net/why_does_it_work/category_12381058.html
[Link 6]: https://blog.csdn.net/why_does_it_work/category_12397959.html?spm=1001.2014.3001.5482
[c7f3e6b8a7624a9eabbea77dbcbca119.jpeg]: https://img-blog.csdnimg.cn/c7f3e6b8a7624a9eabbea77dbcbca119.jpeg
[0ea0b4e6ee9248eeb0504b82f17a2394.png]: https://img-blog.csdnimg.cn/0ea0b4e6ee9248eeb0504b82f17a2394.png
[eca29ba21dc740e99b713f9e0f15199d.png]: https://img-blog.csdnimg.cn/eca29ba21dc740e99b713f9e0f15199d.png