spring security中权限注解

用户10325771

发布于 2023-03-01 17:24:55

6560

发布于 2023-03-01 17:24:55

文章被收录于专栏：java springboot dockerjava springboot docker

文章目录[隐藏]

@PreAuthorize
@PostAuthorize
@PreFilter和@PostFilter
区别
@PreAuthorize
@PostAuthorize
@PreFilter
@PostFilter

@PreAuthorize

方法调用之前， @EnableGlobalMethodSecurity(prePostEnabled=true)

根据角色限制权限

@PostMapping
@PreAuthorize("hasRole('ROLE_USER') or hasRole('ROLE_ADMIN')")
public R<Boolean> insertUser(@RequestBody UserDTO userDTO){
    return success(this.userService.saveUserDTO(userDTO));
}

SpEL 表达式

@PostMapping
@PreAuthorize("#id<10")
public R<Boolean> insertUser(@RequestBody UserDTO userDTO){
    return success(this.userService.saveUserDTO(userDTO));
}

@PostMapping
@PreAuthorize("principal.username.equals(#username)")
public R<Boolean> insertUser(@RequestBody UserDTO userDTO){
    return success(this.userService.saveUserDTO(userDTO));
}

@PostMapping
@PreAuthorize("#user.name.equals('abc')")
public R<Boolean> insertUser(@RequestBody UserDTO userDTO){
    return success(this.userService.saveUserDTO(userDTO));
}

@PostAuthorize

方法调用之后，设置@EnableGlobalMethodSecurity(prePostEnabled=true)

@PreFilter和@PostFilter

使用@PreFilter和@PostFilter可以对集合类型的参数或返回值进行过滤。使用@PreFilter和@PostFilter时，Spring Security将移除使对应表达式的结果为false的元素。

@PostFilter(filterTarget="ids",value="filterObject.id%2==0"）
public R<User> select(List<Long> ids,User user){
    return success(this.userService.selectAll(ids));
}

上述代码表示将对返回结果中id不为偶数的user进行移除。filterObject是使用@PreFilter和@PostFilter时的一个内置表达式，表示集合中的当前对象。当@PreFilter标注的方法拥有多个集合类型的参数时，需要通过@PreFilter的filterTarget属性指定当前@PreFilter是针对哪个参数进行过滤的。 filterTarget指定了当前@PreFilter是用来过滤参数ids的 .