Spring Security全局预授权规则

Question

我正在为网关后面的服务开发一种方法，以便于通信。

该计划使用oauth令牌中的作用域，该令牌将由运行在同一系统上的服务使用。

例如。如果oauth令牌具有作用域“acct”和“user”，bellow api方法将可用。如果ouath令牌的作用域为'admin'，但缺少作用域'acct'和'user'中的一个或两个，则在不更改注释的情况下，我希望它也可用。

@PreAuthorize("#oauth2.hasScope('acct') and #oauth2.hasScope('user')")
@RequestMapping(value = "/scopedtest", produces = "application/json")
public Map<String, String> indexWithScope() {
    return getHashMapResult();
}

我希望这个'admin'范围被全球接受，这样服务开发人员就不需要在他们制作的每个api控制器上都包含admin范围，但仍然允许内部服务访问其他内部服务的api。

这将作为代码工作，它将拦截调用以预授权，并将响应更改为调用方被授权，如果它具有'admin'范围的话。如果oauth令牌具有预授权注释所需的作用域，调用将正常进行。

Answer 1

第一步是创建一个自定义选民类

public class CustomVoter implements AccessDecisionVoter {

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public int vote(Authentication authentication, Object object, Collection collection) {
        //Place your decision code here
        if( check_is_true() ) {
            //grant access
            return ACCESS_GRANTED;
        } else if ( check_is_false() ) {
            //deny access
            return ACCESS_DENIED;
        } else {
            //do not make a choice
            return ACCESS_ABSTAIN;
        }
    }

    @Override
    public boolean supports(Class clazz) {
        return true;
    }
}

我们现在需要将该选民添加到将做出访问决定的选民列表中。

@Configuration
public class DecisionVotersConfiguration {

    @Autowired
    MethodInterceptor methodSecurityInterceptor;

    @PostConstruct
    @DependsOn("methodSecurityInterceptor")
    public void modifyAccessDecisionManager() {
        ((AffirmativeBased)((MethodSecurityInterceptor)methodSecurityInterceptor).getAccessDecisionManager()).getDecisionVoters().add(0, new CustomVoter());
    }
}

这将添加您的自定义决策投票人决策投票人列表。通过将其置于索引0，它将首先被检查。这将允许选民在以后的检查拒绝访问之前批准访问。这个配置类中的方法将取决于正在创建的methodSecurityInterceptor，它将具有决策投票者的初始列表。