为了账号安全,请及时绑定邮箱和手机立即绑定

Spring Security(8)

标签:
JAVA

您好,我是湘王,这是我的慕课手记,欢迎您来,欢迎您再来~


之前虽然实现了角色和权限之间的简单配对但是如果每一个角色都要重新来过一次就有点呆板了如果能够配置一个角色模板」,再通过这个模板来配置其他角色岂不是更简单Spring Security虽然没有角色模板但可以通过继承的方式来曲线就国」。

而且有时候角色与用户并不是完全一一对应的比如admin接口只有ROLE_ADMIN角色拥有manager接口只有ROLE_MANAGER角色拥有但其实admin是应该拥有manager的权限的所以来看看怎么个应该

首先sys_suer表中增加employee用户

INSERT INTO sys_user VALUES (3, 'employee', '123456', CURRENT_TIMESTAMP, CURRENT_TIMESTAMP);


然后在sys_role表中增加ROLE_EMPLOYEE角色

INSERT INTO sys_role VALUES (3, 'ROLE_EMPLOYEE', CURRENT_TIMESTAMP, CURRENT_TIMESTAMP);

再在sys_permission权限表中增加角色权限

INSERT INTO sys_permission VALUES (5,3,'/employee','read',CURRENT_TIMESTAMP,CURRENT_TIMESTAMP);
INSERT INTO sys_permission VALUES (6,3,'/employee','remove',CURRENT_TIMESTAMP,CURRENT_TIMESTAMP);

 

修改LoginController增加employee接口

@GetMapping("/admin")
@PreAuthorize("hasRole('ROLE_ADMIN')")
public String admin() {
    return "admin有ROLE_ADMIN角色";
}

@GetMapping("/manager")
@PreAuthorize("hasRole('ROLE_MANAGER')")
public String manager() {
    return "manager有ROLE_MANAGER角色";
}

@GetMapping("/employee")
@PreAuthorize("hasRole('ROLE_EMPLOYEE')")
public String employee() {
    return "employee有ROLE_EMPLOYEE角色";
}

 

然后在WebSecurityConfiguration中引入Spring Security的RoleHierarchy角色继承类

// 角色继承
@Bean
public RoleHierarchy roleHierarchy() {
   RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
   // 多个角色用【>】表示,【>】左边角色的权限要大于右边角色的权限
   String hierarchy = "ROLE_ADMIN > ROLE_MANAGER " + System.lineSeparator() +
         " ROLE_MANAGER > ROLE_EMPLOYEE";
   // 也可以写成  "ROLE_ADMIN > ROLE_MANAGER > ROLE_EMPLOYEE";
   roleHierarchy.setHierarchy(hierarchy);
   return roleHierarchy;
}


通过Postman测试用户各自拥有的角色

1、admin { ROLE_ADMIN, ROLE_MANAGER, ROLE_EMPLOYEE }

2、manager { ROLE_MANAGER, ROLE_EMPLOYEE }

3、employee { ROLE_EMPLOYEE }

可以看出来Spring Security有几个特点

1、角色可以被继承,但权限并不能“跟随”角色一起被继承

2、admin只能访问/admin/create和/admin/read这两个接口

3、manager也只能访问/manager/create和/manager/remove这两个接口

4、admin虽然继承了user的角色ROLE_MANAGER,但并没有显示地获得ROLE_MANAGER对应的权限,因为加入权限后,角色继承就会失效

https://img4.sycdn.imooc.com/6388ab7900018d8208160404.jpg


因为权限无法跟随角色被继承,所以需要手动去完善权限为了让admin也能访问manager的接口,要赋予角色更多的权限现在把manager和employee的权限都赋予admin

INSERT INTO sys_permission VALUES (7,1,'/manager','create',CURRENT_TIMESTAMP,CURRENT_TIMESTAMP);
INSERT INTO sys_permission VALUES (8,1,'/manager','remove',CURRENT_TIMESTAMP,CURRENT_TIMESTAMP);
INSERT INTO sys_permission VALUES (9,1,'/employee','read',CURRENT_TIMESTAMP,CURRENT_TIMESTAMP);
INSERT INTO sys_permission VALUES (10,1,'/employee','remove',CURRENT_TIMESTAMP,CURRENT_TIMESTAMP);

 

然后在LoginController里再增加employee的权限

@GetMapping("/employee/read")
@PreAuthorize("hasPermission('/employee', 'read')")
public String employeeRead() {
    return "employee有ROLE_EMPLOYEE角色的read权限";
}

@GetMapping("/employee/remove")
@PreAuthorize("hasPermission('/employee', 'remove')")
public String employeeRemove() {
    return "employee有ROLE_EMPLOYEE角色的remove权限";
}

 

通过admin登录,分别访问如下接口

https://img1.sycdn.imooc.com/6388ab7f0001d60803190179.jpg

 

可以看到,admin已经有之前manager和employee的权限了

Spring Security虽然比较简单,也很方便,多适用于一些比较小型的应用系统,角色简单,权限不多如果要实现一些比较复杂的权限功能,Spring Security就会有点力不从心了,而且会出现诸如自定义filter被执行多次的问题所以,一般在大型或企业级应用中,都不会,至少不会完全依赖Spring Security,而是依据实际业务需求,实现自定义的权限系统

 


 

感谢您的大驾光临!咨询技术、产品、运营和管理相关问题,请关注后留言。欢迎骚扰,不胜荣幸~




点击查看更多内容
TA 点赞

若觉得本文不错,就分享一下吧!

评论

作者其他优质文章

正在加载中
  • 推荐
  • 评论
  • 收藏
  • 共同学习,写下你的评论
感谢您的支持,我会继续努力的~
扫码打赏,你说多少就多少
赞赏金额会直接到老师账户
支付方式
打开微信扫一扫,即可进行扫码打赏哦
今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与 放弃机会
意见反馈 帮助中心 APP下载
官方微信

举报

0/150
提交
取消