SpringSecurity中 @EnableGlobalMethodSecurity作用及@PreAuthorize@PostAuthorize@PreFilter和@PostFilter四者的区别

悠悠 2021-06-10 20:40 540阅读 0赞

## @EnableGlobalMethodSecurity作用： ##

当我们想要开启spring方法级安全时，只需要在任何 @Configuration实例上使用 @EnableGlobalMethodSecurity 注解就能达到此目的。同时这个注解为我们提供了prePostEnabled 、securedEnabled 和 jsr250Enabled 三种不同的机制来实现同一种功能：

@Configuration
    @EnableWebSecurity
    @EnableGlobalMethodSecurity(jsr250Enabled = true, prePostEnabled = true, securedEnabled = true)
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    }

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoaWhhaWhhaQ_size_16_color_FFFFFF_t_70]

# prePostEnabled ： #

prePostEnabled = true 会解锁 @PreAuthorize 和 @PostAuthorize 两个注解。从名字就可以看出@PreAuthorize 注解会在方法执行前进行验证，而 @PostAuthorize 注解会在方法执行后进行验证。

public interface UserService {
        List<User> findAllUsers();
    
        @PostAuthorize ("returnObject.type == authentication.name")
        User findById(int id);
        
    	//  @PreAuthorize("hasRole('ADMIN')") 必须拥有 ROLE_ADMIN 角色。
        @PreAuthorize("hasRole('ROLE_ADMIN ')")
        void updateUser(User user);
        
        @PreAuthorize("hasRole('ADMIN') AND hasRole('DBA')")
        void deleteUser(int id);
        
        // @PreAuthorize("principal.username.startsWith('Felordcn')") 用户名开头为 Felordcn 的用户才能访问。
        // @PreAuthorize("#id.equals(principal.username)") 入参 id 必须同当前的用户名相同。
        // @PreAuthorize("#id < 10") 限制只能查询 id 小于 10 的用户
    
    }

[常见内置表达式][Link 1]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoaWhhaWhhaQ_size_16_color_FFFFFF_t_70 1]  
**@PostAuthorize：** 该注解使用不多，在方法执行后再进行权限验证。 适合验证带有返回值的权限。Spring EL 提供 返回对象能够在表达式语言中获取返回的对象returnObject。区别在于先执行方法。而后进行表达式判断。如果方法没有返回值实际上等于开放权限控制；如果有返回值实际的结果是用户操作成功但是得不到响应。允许方法调用,但是如果表达式计算结果为false,将抛出一个安全性异常。

**@PreFilter：** 对集合类型的参数执行过滤，移除结果为false的元素。基于方法入参相关的表达式，对入参进行过滤。分页慎用！该过程发生在接口接收参数之前。 入参必须为 java.util.Collection 且支持 remove(Object) 的参数。如果有多个集合需要通过 filterTarget=<参数名> 来指定过滤的集合。内置保留名称 filterObject 作为集合元素的操作名来进行评估过滤。

// 指定过滤的参数，过滤偶数
    @PreFilter(filterTarget="ids", value="filterObject%2==0")
    public void delete(List<Integer> ids, List<String> username)

**@PostFilter：** 和@PreFilter 不同的是， 基于返回值相关的表达式，对返回值进行过滤。分页慎用！该过程发生接口进行数据返回之前。

# Secured： #

@Secured注解是用来定义业务方法的安全配置。在需要安全\[角色/权限等\]的方法上指定 @Secured，并且只有那些角色/权限的用户才可以调用该方法。  
@Secured缺点（限制）就是不支持Spring EL表达式。不够灵活。并且指定的角色必须以ROLE\_开头，不可省略。该注解功能要简单的多，默认情况下只能基于角色（默认需要带前缀 ROLE\_）集合来进行访问控制决策。该注解的机制是只要其声明的角色集合（value）中包含当前用户持有的任一角色就可以访问。也就是 用户的角色集合和 @Secured 注解的角色集合要存在非空的交集。 不支持使用 SpEL 表达式进行决策。

@Secured({"ROLE_user"})
        void updateUser(User user);
    
        @Secured({"ROLE_admin", "ROLE_user1"})
        void updateUser();

# jsr250E： #

启用 JSR-250 安全控制注解，这属于 JavaEE 的安全规范（现为 jakarta 项目）。一共有五个安全注解。如果你在 @EnableGlobalMethodSecurity 设置 jsr250Enabled 为 true ，就开启了 JavaEE 安全注解中的以下三个：

1.@DenyAll： 拒绝所有访问

2.@RolesAllowed(\{“USER”, “ADMIN”\})： 该方法只要具有"USER", "ADMIN"任意一种权限就可以访问。这里可以省略前缀ROLE\_，实际的权限可能是ROLE\_ADMIN

3.@PermitAll： 允许所有访问

## spring security，prePostEnabled=true，中可以通过表达式控制方法权限： ##

Spring Security中定义了四个支持使用表达式的注解，分别是@PreAuthorize、@PostAuthorize、@PreFilter和@PostFilter。其中前两者可以用来在方法调用前或者调用后进行权限检查，后两者可以用来对集合类型的参数或者返回值进行过滤。要使它们的定义能够对我们的方法的调用产生影响我们需要设置global-method-security元素的pre-post-annotations=”enabled”，默认为disabled。

<security:global-method-security pre-post-annotations="enabled"/>

###  使用@PreAuthorize和@PostAuthorize进行访问控制 ###

@PreAuthorize可以用来控制一个方法是否能够被调用。

@Service
    public class UserServiceImpl implements UserService {
       @PreAuthorize("hasRole('ROLE_ADMIN')")
       public void addUser(User user) {
          System.out.println("addUser................" + user);
       }
       @PreAuthorize("hasRole('ROLE_USER') or hasRole('ROLE_ADMIN')")
       public User find(int id) {
          System.out.println("find user by id............." + id);
          return null;
       }
    }

在上面的代码中我们定义了只有拥有角色ROLE\_ADMIN的用户才能访问adduser()方法，而访问find()方法需要有ROLE\_USER角色或ROLE\_ADMIN角色。使用表达式时我们还可以在表达式中使用方法参数。

public class UserServiceImpl implements UserService {
       /**
        * 限制只能查询Id小于10的用户
       */
       @PreAuthorize("#id<10")
       public User find(int id) {
          System.out.println("find user by id........." + id);
          return null;
       }
    
       /**
        * 限制只能查询自己的信息
        */
       @PreAuthorize("principal.username.equals(#username)")
       public User find(String username) {
          System.out.println("find user by username......" + username);
          return null;
       }
    
       /**
        * 限制只能新增用户名称为abc的用户
        */
       @PreAuthorize("#user.name.equals('abc')")
       public void add(User user) {
          System.out.println("addUser............" + user);
       }
    }

在上面代码中我们定义了调用find(int id)方法时，只允许参数id小于10的调用；调用find(String username)时只允许username为当前用户的用户名；定义了调用add()方法时只有当参数user的name为abc时才可以调用。

有时候可能你会想在方法调用完之后进行权限检查，这种情况比较少，但是如果你有的话，Spring Security也为我们提供了支持，通过@PostAuthorize可以达到这一效果。使用@PostAuthorize时我们可以使用内置的表达式returnObject表示方法的返回值。

下面这一段示例代码：

@PostAuthorize("returnObject.id%2==0")
     public User find(int id) {
        User user = new User();
        user.setId(id);
        return user;
     }

上面这一段代码表示将在方法find()调用完成后进行权限检查，如果返回值的id是偶数则表示校验通过，否则表示校验失败，将抛出AccessDeniedException。需要注意的是@PostAuthorize是在方法调用完成后进行权限检查，它不能控制方法是否能被调用，只能在方法调用完成后检查权限决定是否要抛出AccessDeniedException。

### 使用@PreFilter和@PostFilter进行过滤 ###

使用@PreFilter和@PostFilter可以对集合类型的参数或返回值进行过滤。使用@PreFilter和@PostFilter时，Spring Security将移除使对应表达式的结果为false的元素。

@PostFilter("filterObject.id%2==0"）
    public List<User> findAll() {
      List<User> userList = new ArrayList<User>();
      User user;
      for (int i=0; i<10; i++) {
         user = new User();
         user.setId(i);
         userList.add(user);
      }
      return userList;
    }

上述代码表示将对返回结果中id不为偶数的user进行移除。filterObject是使用@PreFilter和@PostFilter时的一个内置表达式，表示集合中的当前对象。当@PreFilter标注的方法拥有多个集合类型的参数时，需要通过@PreFilter的filterTarget属性指定当前@PreFilter是针对哪个参数进行过滤的。

如下面代码就通过filterTarget指定了当前@PreFilter是用来过滤参数ids的。

@PreFilter(filterTarget="ids", value="filterObject%2==0")
    public void delete(List<Integer> ids, List<String> usernames) {
        ...
    }

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoaWhhaWhhaQ_size_16_color_FFFFFF_t_70]: /images/20210527/0bea26c5c6654d5db2c788809c9889ce.png
[Link 1]: http://docs.spring.io/spring-security/site/docs/4.0.1.RELEASE/reference/htmlsingle/#el-common-built-in
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NoaWhhaWhhaQ_size_16_color_FFFFFF_t_70 1]: /images/20210527/ab4a91ae8243475db770262be5e80d3f.png