@预授权安全角色批注

Question

我正在试图理解一些Spring Security代码。我也是Spring Security的新手，我想我在这里遗漏了一些基本的东西。

@Controller
@RequestMapping("/download-resource")
@PreAuthorize(value="hasRole('LINKS_ADMIN')")
public class DownloadResourcesController extends BaseHtmlController 
 {..}

谢谢，雷。

Answer 1

这些角色是用户登录时分配给UserDetails的角色（权限）。这些将由身份验证实现返回。

它们是窗体集合<？扩展GrantedAuthority>，通常使用SimpleGrantedAuthority。

例如，在我的应用程序中，每个人都被分配到组中。因此，当用户登录时，我会检查该用户所属的所有组，并将其添加到用户详细信息中。

    for (Group group : groups) {
        grantedAuthorities.add(new SimpleGrantedAuthority("ROLE_" + group.getName().toUpperCase()));
    }

在引擎盖下，它是从

SecurityContextHolder.getContext().getAuthentication().getAuthorities();

其中getAuthentication()返回我在上面链接到的身份验证实例，并从该对象获取权限。