Spring Security 中如何自定义授权逻辑？

推荐答案

在 Spring Security 中，自定义授权逻辑可以通过实现 AccessDecisionVoter 接口或使用 @PreAuthorize、@PostAuthorize 等注解来实现。以下是两种常见的方式：

1. 使用 AccessDecisionVoter 接口

通过实现 AccessDecisionVoter 接口，可以自定义投票逻辑来决定是否允许访问某个资源。

// www.javascriptcn.com code example
public class CustomVoter implements AccessDecisionVoter<Object> {

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }

    @Override
    public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
        // 自定义授权逻辑
        if (/* 自定义条件 */) {
            return ACCESS_GRANTED;
        } else {
            return ACCESS_DENIED;
        }
    }
}

然后，将自定义的 AccessDecisionVoter 注册到 Spring Security 配置中：

// www.javascriptcn.com code example
@Bean
public AccessDecisionManager accessDecisionManager() {
    List<AccessDecisionVoter<?>> decisionVoters = Arrays.asList(
        new CustomVoter(),
        new RoleVoter(),
        new AuthenticatedVoter()
    );
    return new UnanimousBased(decisionVoters);
}

2. 使用 @PreAuthorize 和 @PostAuthorize 注解

通过使用 @PreAuthorize 和 @PostAuthorize 注解，可以在方法级别上定义授权逻辑。

// www.javascriptcn.com code example
@Service
public class MyService {

    @PreAuthorize("hasRole('ADMIN') or #userId == authentication.principal.id")
    public void doSomething(Long userId) {
        // 业务逻辑
    }

    @PostAuthorize("returnObject.owner == authentication.principal.username")
    public MyObject getMyObject(Long id) {
        // 业务逻辑
        return myObject;
    }
}

为了启用这些注解，需要在配置类上添加 @EnableGlobalMethodSecurity 注解：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 其他配置
}

本题详细解读

1. AccessDecisionVoter 接口

AccessDecisionVoter 是 Spring Security 中用于投票决定是否允许访问某个资源的接口。它有三个主要方法：

• supports(ConfigAttribute attribute)：判断是否支持特定的配置属性。
• supports(Class<?> clazz)：判断是否支持特定的类。
• vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes)：根据认证信息和配置属性进行投票。

通过实现 AccessDecisionVoter 接口，可以自定义投票逻辑，并将其集成到 Spring Security 的决策管理器中。

2. @PreAuthorize 和 @PostAuthorize 注解

@PreAuthorize 和 @PostAuthorize 是 Spring Security 提供的注解，用于在方法执行前后进行授权检查。

• @PreAuthorize：在方法执行前进行授权检查，通常用于验证调用者是否有权限执行该方法。
• @PostAuthorize：在方法执行后进行授权检查，通常用于验证返回的对象是否符合授权规则。

这些注解支持 SpEL（Spring Expression Language）表达式，可以灵活地定义授权逻辑。

3. 启用方法级安全

为了使用 @PreAuthorize 和 @PostAuthorize 注解，需要在 Spring Security 配置类上添加 @EnableGlobalMethodSecurity 注解，并设置 prePostEnabled = true。

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 其他配置
}

通过这种方式，可以在方法级别上灵活地定义授权逻辑，而不需要修改全局的安全配置。