Spring Security性-用户角色或用户身份验证

Question

我在学Spring保安。

在浏览了一些教程之后，我发现其中一些使用了UserRole，而一些使用了一个实现身份验证的UserAuthentication类。我尝试实现的一个（并起作用）是创建一个自定义的MyUserDetailsService,它实现UserDetailsService,并授予权限（角色？）像这样：

private List<GrantedAuthority> buildUserAuthority(Set<UserRole> userRoles) {
        Set<GrantedAuthority> setAuths = new HashSet<GrantedAuthority>();

        // Build user's authorities
        for (UserRole userRole : userRoles) {
            setAuths.add(new SimpleGrantedAuthority(userRole.getRole()));
        }

        List<GrantedAuthority> Result = new ArrayList<GrantedAuthority>(setAuths);

        return Result;
    }

我想知道用户角色和GrantedAuthorities之间有什么区别（例如，当使用@preauthorize(HasRole...)和@preauthorize(HasAuthority...))时，如果它们做相同的事情，为什么两者都存在？或使用一个与另一个相比较的优点。

Answer 1

关于您关于“一些人使用UserRole，而另一些人使用UserAuthentication”的评论，这实际上是两个不同的概念--UserRole用于用户授权，另一个用于用户身份验证。为什么使用一个而不是另一个，这仅仅是实现一个解决方案以验证和授权用户的各种情况的问题。身份验证是用来确定用户是否是她所说的用户，而授权是指她是否可以实际执行请求。我可能对你的教程有些误解，因为我没有看过它，但我希望它能帮助你理解其中提到的两个不同的概念，以及为什么它们是恭维的概念而不是竞争的概念。

关于您的实现方向，我认为您的自定义详细信息服务是正确的，我在过去做过无数次，它工作得很好。关于您关于用户角色和grantedauthority的问题--我认为将grantedauthority视为一个抽象是安全的，它允许您提供自定义字符串令牌来标识/分类某些用户/系统/等等。在一个团体里。这基本上是一个UserRole太对了？我不是Spring Security贡献者，但我猜测grantedauthority的创建只是为了在安全域上下文中抽象角色的概念。

通过将您的角色字符串放入grantedauthority中，您表示经过身份验证的用户具有以下权限--您可以说是角色。@preauthorize接受一个EL字符串，如果用户被“授予”，则该字符串可以与已验证用户的授予权限集合中的一个字符串匹配。如果用户没有被授予权限/角色，那么她就没有能力执行请求。对于你所问的，概念是一样的。

从Spring文档中：

 @PreAuthorize("hasRole('ROLE_USER')")
  public void create(Contact contact);

此外，本页也很有帮助（参见：15.3方法安全表达式）：Spring表达式

希望这能帮上忙。