如何使用SpringSecurity实现动态加载权限信息

这篇文章主要介绍了如何使用springSecurity实现动态加载权限信息，具有一定借鉴价值，感兴趣的朋友可以参考下，希望大家阅读完这篇文章之后大有收获，下面让小编带着大家一起了解一下。

①数据库中资源与角色对应关系，以及角色和用户对应关系如下图所示：

 ②实现FilterInvocationSecurityMetadataSource类

(1)List<Menu> menus = menuService.getMenusWithRoles();这个是你自己的资源对应角色的查询方法。

(2)重写的support方法都返回true

@Configurationpublic class MyFilterInvocation implements FilterInvocationSecurityMetadataSource {     @Autowired    private MenuService menuService;     AntPathMatcher antPathMatcher = new AntPathMatcher();     @Override    public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {        String requestUrl = ((FilterInvocation) object).getRequestUrl();        List<Menu> menus = menuService.getMenusWithRoles();        //- 遍历数据库的url，看请求路径是否与其匹配        for (Menu menu : menus) {            //- 如果请求路径和数据库的路径匹配            if (antPathMatcher.match(menu.getUrl(),requestUrl)){                //- 访问该路径需要的角色                List<Role> roles = menu.getRoles();                String[] strs = new String[roles.size()];                for (int i = 0; i < roles.size(); i++) {                    strs[i] = roles.get(i).getName();                }                return SecurityConfig.createList(strs);            }        }        //- 如果请求路径和数据库的所有路径都不匹配，说明这个资源是登录后即可访问的        //- 用户登录即可访问,相当于在SecurityConfig中配置了.anyRequest().authenticated()        return SecurityConfig.createList("ROLE_LOGIN");    }     @Override    public Collection<ConfigAttribute> getAllConfigAttributes() {        return null;    }     @Override    public boolean supports(Class<?> clazz) {        return true;    }}

③实现AccessDecisionManager类

重写的support方法都返回true

@Configurationpublic class MyDecisionManager implements AccessDecisionManager {      @Override    public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes) throws AccessDeniedException, InsufficientAuthenticationException {        for (ConfigAttribute configAttribute : configAttributes) {            String needRole = configAttribute.getAttribute();            if ("ROLE_LOGIN".equals(needRole)) {                //- 用户登录即可访问,相当于在SecurityConfig中配置了.anyRequest().authenticated()                if (authentication instanceof AnonymousAuthenticationToken) {                    throw new AccessDeniedException("尚未登录，请先登录");                } else {                    return;                }            }                        Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();            //这里我写的是只要访问该资源的用户具有`访问该资源所需要角色`的其中一个即可            for (GrantedAuthority authority : authorities) {                if (authority.getAuthority().equals(needRole)) {                    return;                }            }        }        throw new AccessDeniedException("权限不足，请联系管理员");    }     @Override    public boolean supports(ConfigAttribute attribute) {        return true;    }     @Override    public boolean supports(Class<?> clazz) {        return true;    }}

④到SecurityConfig配置类中完成相应配置

@Autowired    private MyDecisionManager myDecisionManager;        @Autowired    private  MyFilterInvocation myFilterInvocation;      @Override    protected void configure(httpsecurity Http) throws Exception {        http.authorizeRequests()                .withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {                    @Override                    public <O extends FilterSecurityInterceptor> O postProcess(O object) {                        object.setAccessDecisionManager(myDecisionManager);                        object.setSecurityMetadataSource(myFilterInvocation);                        return object;                    }                });             http.exceptionHandling().accessDeniedHandler(myAccessDeniedHandler());     }      @Bean    MyAccessDeniedHandler myAccessDeniedHandler(){        return new MyAccessDeniedHandler();    }

⑤可选，实现AccessDeniedHandler类

public class MyAccessDenied implements AccessDeniedHandler {     @Override    public void handle(HttpServletRequest req, HttpServletResponse resp, AccessDeniedException accessDeniedException) throws IOException, ServletException {        resp.setContentType("application/JSON;charset=utf-8");        PrintWriter pw = resp.getWriter();        pw.write(new ObjectMapper().writeValueAsString(RespBean.error("权限不够，请联系管理员")));        pw.flush();        pw.close();    }}

感谢你能够认真阅读完这篇文章，希望小编分享的“如何使用SpringSecurity实现动态加载权限信息”这篇文章对大家有帮助，同时也希望大家多多支持编程网，关注编程网精选频道，更多相关知识等着你来学习!