1.概述
Spring Security使用强大的Spring Expression Language(SpEL)提供各种各样的表达式。大多数这些Security表达式是针对上下文对象(当前经过身份验证的主体)进行工作的.
这些表达式的评估由SecurityExpressionRoot执行 - 它提供了Web安全性和方法级安全性的基础。
Spring Security 3.0中引入了使用SpEL表达式作为授权机制的能力,并在Spring Security 4.x中继续使用,有关Spring Security中表达式的完整列表,请查看本指南。
2.Web授权
Spring Security提供两种类型的Web授权 - 基于URL保护整页,并根据安全规则有条件地显示JSP页面的各个部分。
2.1.Full Page授权示例
通过为http元素启用表达式,可以按如下方式保护URL模式:
<http use-expressions = "true">
<intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
...
</http>
使用Java配置:
@Configuration
@EnableWebSecurity
public class SecSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN");
}
...
}
Spring Security会自动为任何角色添加前缀ROLE_。
此处使用hasRole表达式来检查当前经过身份验证的主体是否具有指定的权限。
2.2.在页面授权示例
第二种Web授权基于对Security表达式的评估有条件地显示JSP页面的某些部分。
让我们在pom.xml中为Spring Security JSP taglib支持添加所需的依赖项:
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-taglibs</artifactId>
<version>5.0.5.RELEASE</version>
</dependency>
必须在页面上启用taglib支持才能使用Security命名空间:
<%@ taglib prefix="security"
uri="http://www.springframework.org/security/tags" %>
现在可以在页面上使用hasRole表达式,当页面渲染时,基于经过身份验证的人显示/隐藏HTML元素.
<security:authorize access="hasRole('ROLE_USER')">
This text is only visible to a user
<br/>
</security:authorize>
<security:authorize access="hasRole('ROLE_ADMIN')">
This text is only visible to an admin
<br/>
</security:authorize>
3.方法级别授权示例 - @PreAuthorize
通过使用注释,Security表达式还可用于在方法级别保护业务功能。
注释@PreAuthorize和@PostAuthorize(以及@PreFilter和@PostFilter)支持Spring Expression Language(SpEL)并提供基于表达式的访问控制。
首先,为了使用方法级安全性,我们需要使用@EnableGlobalMethodSecurity在安全性配置中启用它:
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
...
}
等效的XML配置:
<global-method-security pre-post-annotations="enabled" />
然后,我们可以使用Spring @PreAuthorize注释来保护方法:
@Service
public class FooService {
@PreAuthorize("hasRole('ROLE_ADMIN')")
public List<Foo> findAll() { ... }
...
}
现在,只有具有ADMIN角色的用户才能成功调用findAll方法。
请注意,Pre和Post注释是通过代理进行评估和强制执行的 - 如果使用CGLIB代理,则不能将类和公共方法声明为final。
4.编程检查角色
如果请求对象可用,还可以在原始Java代码中以编程方式检查用户权限:
@RequestMapping
public void someControllerMethod(HttpServletRequest request) {
request.isUserInRole("someAuthority");
}
当然,不访问请求,也可以简单的手动校验有特殊权限的已认证通过的用户。可以通过各种方式从Spring Security上下文中获取用户。
5.总结
本教程简要介绍了一般使用Spring Security Expressions,特别是hasRole表达式 - 快速介绍如何保护应用程序的各个部分。
有关Web授权示例,请查看此Github简单教程。方法级安全性示例也在GitHub上。
原文地址:https://www.cnblogs.com/xjknight/p/10887791.html