SpringSecurity授权管理介绍

用户4919348

发布于 2019-12-11 16:01:48

6330

发布于 2019-12-11 16:01:48

权限管理的两大核心是：认证和授权，前面我们已经介绍完了认证的内容，本文就给大家来介绍下SpringSecurity的授权管理

一、注解操作

我们在控制器或者service中实现授权操作比较理想的方式就是通过相应的注解来实现。SpringSecurity可以通过注解的方式来控制类或者方法的访问权限。注解需要对应的注解支持，若注解放在controller类中，对应注解支持应该放在mvc配置文件中，因为controller类是有mvc配置文件扫描并创建的，同理，注解放在service类中，对应注解支持应该放在spring配置文件中。由于我们现在是模拟业务操作，并没有service业务代码，所以就把注解放在controller类中了。

1.1开启授权的注解支持

这里给大家演示三类注解，但实际开发中，用一类即可！

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:context="http://www.springframework.org/schema/context"
       xmlns:mvc="http://www.springframework.org/schema/mvc"
       xmlns:security="http://www.springframework.org/schema/security"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-4.2.xsd
        http://www.springframework.org/schema/context
        http://www.springframework.org/schema/context/spring-context-4.2.xsd
        http://www.springframework.org/schema/mvc
        http://www.springframework.org/schema/mvc/spring-mvc-4.2.xsd
        http://www.springframework.org/schema/security
        http://www.springframework.org/schema/security/spring-security-4.2.xsd
    ">

    <!-- 配置扫描路径-->
    <context:component-scan base-package="com.dpb.security.controller"
                            use-default-filters="false">
        <context:include-filter type="annotation"
                                expression="org.springframework.stereotype.Controller" />
    </context:component-scan>
    <mvc:annotation-driven></mvc:annotation-driven>
    <!--
        开启权限控制注解支持
            jsr250-annotations="enabled"表示支持jsr250-api的注解，需要jsr250-api的jar包
            pre-post-annotations="enabled"表示支持spring表达式注解
            secured-annotations="enabled"这才是SpringSecurity提供的注解
    -->
    <security:global-method-security jsr250-annotations="enabled"
                                     pre-post-annotations="enabled"
                                     secured-annotations="enabled"
    />
</beans>

1.2在注解支持对应类或者方法上添加注解

创建相关的控制器

Jsr250注解的使用

<dependency>
  <groupId>javax.annotation</groupId>
  <artifactId>jsr250-api</artifactId>
  <version>1.0</version>
</dependency>

效果

Spring表达式注解使用

效果

SpringSecurity提供的注解使用

效果

1.3 权限异常处理

对于没有访问权限的操作，我们直接给一个403的系统错误页面，用户体验也太差了，这时我们可以通过自定义异常处理来解决自定义错误页面

方式一：在spring-security.xml配置文件中处理

方式二：编写通过SpringMVC的异常处理机制

也可以通过我们在介绍SpringMVC时介绍的5中异常处理方式，此处大家自行完善。

方式三：web.xml文件中设置

<error-page> 
  <error-code>403</error-code> 
  <location>/403.jsp</location> 
</error-page>

二、标签操作

上面介绍的注解方式可以控制服务器的访问，但是我们在前端页面上也需要把用户没有权限访问的信息给隐藏起来，这时我们需要通过SpringSecurity的标签库来实现，具体如下

<%--
  Created by IntelliJ IDEA.
  User: dengp
  Date: 2019/12/1
  Time: 20:43
  To change this template use File | Settings | File Templates.
--%>
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib uri="http://www.springframework.org/security/tags" prefix="security"%>
<html>
<head>
    <title>Title</title>

</head>
<body>
    <h1>home界面</h1><br>
    当前登录账号:<br>
    <security:authentication property="principal.username"/><br>
    <security:authentication property="name"/><br>
    <form action="/logout" method="post">
        <security:csrfInput/>
        <input type="submit"value="注销">
    </form>

    <security:authorize access="hasAnyRole('ROLE_ADMIN')" >
        <a href="#">系统管理</a>
    </security:authorize>
    <security:authorize access="hasAnyRole('ROLE_USER')" >
        <a href="#">用户管理</a>
    </security:authorize>
</body>
</html>

用起来和我们前面介绍shiro的标签库差不多