Spring Security hasRole（）用于未经身份验证的用户，考虑角色层次结构

Question

@Bean
public RoleHierarchy roleHierarchy() {
    var rh = new RoleHierarchyImpl();
    rh.setHierarchy("ROLE_ADMIN > ROLE_USER and ...");

    return rh;
}

public boolean hasAuthority(User user, String authority) {
    return user.getAuthorities()
            .stream()
            .anyMatch(grantedAuthority -> grantedAuthority.getName().equals(authority));
}

如果有任何帮助，我将不胜感激。

Answer 1

您可以使用角色层次结构，请参阅RoleHierarchy#GetReachableGrantedAuthorities:

Collection<? extends GrantedAuthority> getReachableGrantedAuthorities(Collection<? extends GrantedAuthority> authorities) 

返回所有可访问权限的数组。

可访问权限是指直接分配的权限，以及在角色层次结构中可以（可传递地）从这些权限访问的所有权限。

示例：角色层次结构:ROLE_A>ROLE_B和ROLE_B>Role_C。
直接分配的权限:ROLE_A。
可访问的权限:ROLE_A、ROLE_B、Role_C。

返回：

给定已分配权限的所有可访问权限的列表。

您修改的代码：

public boolean hasAuthority(User user, String authority) {
    return roleHierarchy()
        .getReachableGrantedAuthorities(user.getAuthorities())
        .stream()
        .anyMatch(grantedAuthority -> grantedAuthority.getName().equals(authority));
}