在Spring Boot应用中使用Spring Security Annotation

以你之姓@ 2022-08-31 01:57 257阅读 0赞

### 文章目录 ###

*  在Spring Boot应用中使用Spring Security Annotation
 *   *  前言
     *  取消在SecurityConfig类中根据路径鉴权
     *  开启Spring Security Annotation
     *  使用\`@RolesAllowed\` 注解
     *  Spring Security Annotations小结
     *  自定义Spring Security Annotations
     *  小结
     *  参考文档

# 在Spring Boot应用中使用Spring Security Annotation #

## 前言 ##

在[在Spring Boot应用中集成Keycloak作认证和鉴权][Spring Boot_Keycloak] 一文中，描述了在Spring Boot应用中如何集成Keycloak作认证和鉴权。

本文描述如何在Spring Boot应用中使用Spring Security Annotation使得控制权限更加简单方便。

## 取消在SecurityConfig类中根据路径鉴权 ##

@Override
        protected void configure(HttpSecurity http) throws Exception { 
            super.configure(http);
            http.authorizeRequests()
    // .antMatchers("/manager").hasRole("admin")
    // .antMatchers("/books").hasAnyRole("user", "admin")
                        .anyRequest().permitAll();
        }

在SecurityConfig类根据路径鉴权有一个不好处就是，每次新增加路径都要改这个类。如果不小心改错了，影响了其他路径，很难测试出来。

可以采用Spring Security Annotation来在方法或类中来控制访问权限。

## 开启Spring Security Annotation ##

新建`MethodSecurityConfig` 配置类。

@Configuration
    @EnableGlobalMethodSecurity(
            prePostEnabled = true,
            securedEnabled = true,
            jsr250Enabled = true
    )
    public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration { 
    }

说明：

*  `prePostEnabled = true` \- 开启Spring Security pre/post annotations，包括： `@PreAuthorize` / `@PostAuthorize` ，`@PreFilter` / `@PostFilter` 注解。
 *  `securedEnabled = true` \- 开启`@Secured` 注解
 *  `jsr250Enabled = true` \- 开启JSR-250类注解，即`@RoleAllowed` 注解

## 使用`@RolesAllowed` 注解 ##

设置有`user`或`admin` Role的用户都可以访问该方法：

@GetMapping("/books")
    @RolesAllowed({ "user", "admin"})
    public String getBooks(Model model, Principal principal) { 
      model.addAttribute("books", bookRepository.readAll());
      model.addAttribute("name", principal.getName());
      return "books";
    }

设置只有`admin` Role的用户才可以访问该方法：

@GetMapping("/manager")
    @RolesAllowed("admin")
    public String manageBooks(Model model, HttpServletRequest request) { 
      model.addAttribute("books", bookRepository.readAll());
      String userName = SecurityUtils.getIDToken(request).getGivenName();
      model.addAttribute("name", userName);
      return "manager";
    }

## Spring Security Annotations小结 ##

<table> 
 <thead> 
  <tr> 
   <th>Annotation</th> 
   <th>用法</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>@Secured</code></td> 
   <td>方法或类</td> 
   <td>检查当前用户是否属于一个或多个角色</td> 
  </tr> 
  <tr> 
   <td><code>@RolesAllowed</code></td> 
   <td>方法或类</td> 
   <td>检查当前用户是否属于一个或多个角色</td> 
  </tr> 
  <tr> 
   <td><code>@PreAuthorize</code></td> 
   <td>方法或类</td> 
   <td>前置检查，可操作方法参数，支持SPEL表达式</td> 
  </tr> 
  <tr> 
   <td><code>@PostAuthorize</code></td> 
   <td>方法或类</td> 
   <td>后置检查，可操作方法返回值，支持SPEL表达式</td> 
  </tr> 
  <tr> 
   <td><code>@PreFilter</code></td> 
   <td>方法或类</td> 
   <td>前置过滤集合，可操作方法参数，支持SPEL表达式</td> 
  </tr> 
  <tr> 
   <td><code>@PostFilter</code></td> 
   <td>方法或类</td> 
   <td>后置过滤集合，可操作方法返回值，支持SPEL表达式</td> 
  </tr> 
 </tbody> 
</table>

## 自定义Spring Security Annotations ##

如果Spring Security Annotiations不能满足你的要求，你还可以自定义Spring Security Annotations。

参见：

*  [A Custom Security Expression with Spring Security][]

## 小结 ##

本文示例代码：

*  [springboot-keycloak-demo][]

## 参考文档 ##

*  [Introduction to Spring Method Security][]
 *  [https://github.com/eugenp/tutorials/tree/master/spring-security-modules/spring-security-core][https_github.com_eugenp_tutorials_tree_master_spring-security-modules_spring-security-core]
 *  [Spring Security – @PreFilter and @PostFilter][Spring Security _ _PreFilter and _PostFilter]
 *  [Spring Expression Language Guide][]

[Spring Boot_Keycloak]: https://cookcode.blog.csdn.net/article/details/118821925
[A Custom Security Expression with Spring Security]: https://www.baeldung.com/spring-security-create-new-custom-security-expression
[springboot-keycloak-demo]: https://github.com/cookcodeblog/springboot-keycloak-demo
[Introduction to Spring Method Security]: https://www.baeldung.com/spring-security-method-security
[https_github.com_eugenp_tutorials_tree_master_spring-security-modules_spring-security-core]: https://github.com/eugenp/tutorials/tree/master/spring-security-modules/spring-security-core
[Spring Security _ _PreFilter and _PostFilter]: https://www.baeldung.com/spring-security-prefilter-postfilter
[Spring Expression Language Guide]: https://www.baeldung.com/spring-expression-language