使用Spring Security实现UserDetail和UserDetailService的自定义用户、角色和权限

Question

我希望使用Spring Security（使用MySql）存储用户、角色、权限（权限）。我做了以下工作：

ApplicationUser（id,firstName,lastName,username,password,roles）
ApplicationRole（id,name,description,permissions）实现GrantedAuthority
ApplicationPermission（id,name,description）实现GrantedAuthority

我创建了一个实现UserDetailService的类。在loadUserByUsername方法中，我执行以下操作：

ApplicationUser applicationUser = userRepository.findByUsername(username);
if(applicationUser == null) {
    throw new UsernameNotFoundException(username);
}

// Extract role/role permission grantedAuthorities from db user
List<GrantedAuthority> grantedAuthorities = new ArrayList<>();
for (Role role: applicationUser.getRoles()) {
    grantedAuthorities.add(role);
    grantedAuthorities.addAll(role.getPermissions());
}

return new User(applicationUser.getUsername(), applicationUser.getPassword(), grantedAuthorities);

然而，这仍然让我有点困惑，这里是我的几个问题。

1. 是否需要在我的ApplicationRole和ApplicationPermission类上实现GrantedAuthority。在我见过的许多例子中，我没有看到其他人这样做，但它似乎使我的生活变得更容易，所以我可以得到它们并按原样传递它们。
2. 我没有用我的ApplicationUser类实现UserDetails。如果我这样做，目的是什么？唯一的原因是我可以自定义getAuthorities、isAccountNonExpired、isAccountNonLocked、isCredentialsNonExpired和isEnabled方法吗？是否有这些方法的默认实现，或者只有在我创建我的版本时。如果我已经在UserDetailsServiceImpl中使用loadbyUserName实现了getAuthorities，为什么还需要在这里实现它？
3. SimpleGrantedAuthority的目的是什么？我看到它实现了GrantedAuthority，并且只接受一个字符串名称。但是，由于我使用ApplicationRole和ApplicationPermission类实现了GrantedAuthority，所以我觉得不需要使用它。

我认为我的问题是，我不知道何时/如何正确实现UserDetailService和UserDetailService以确保我从数据库加载权限，并在每次用户登录时设置这些权限。另外，用我的ApplicationRole和ApplicationPermission类实现GrantedAuthority有什么意义吗？

Answer 1

>

没有必要，我也不推荐。将应用程序的这些不同方面分开是很好的。据我所知，在自定义UserDetailsService中获取角色并将其文本表示形式包装在SimpleGrantedAuthority（即它们的名称）中是一种常见的做法。请注意，要在Spring Security中区分角色和权限，您必须在默认情况下为角色加上role_标记（请参见HasRole和HasAuthority访问控制表达式）。

拥有自定义的userdetails实现并不是必需的，但可能有好处，例如，您可以存储特定于应用程序的额外字段。默认实现是org.springframework.security.core.userdetails.user，大多数时候您可以扩展这个实现。

参见#1

用我的ApplicationRole和ApplicationPermission类实现GrantedAuthority有什么意义吗？

不会有任何意义的，不。现有的实现涵盖了许多用例，但对于最简单的用例，您可以只使用simplegrantedauthority。