java spring：如何分离用户角色和权限？

Question

我目前的理解是Spring没有区分角色和权威，唯一的区别是角色名称的缩写role_。

我希望实现的是具有权威的角色。另外，如果我给一个用户ADMIN这个角色，他就会获得所有相关的特权（举个例子，我们可以访问网站上的路由以更新页面）

我当前的实现如下：我有一个自定义特权类，它与Roles类有多对多的关系，而Roles类与用户的类有多对多的关系。当公共集合<？调用UserDetails的extends grantedAuthority>getAuthority()，它迭代所有权限并获取。

@Override
public Collection<? extends GrantedAuthority> getAuthorities() {
    List<SimpleGrantedAuthority> authorities = new ArrayList<>();
    for (Role role : this.roles) {
        for (Privilege pri : role.getPrivileges()) {
            SimpleGrantedAuthority auth = new SimpleGrantedAuthority(pri.getName());
            if (!authorities.contains(auth)) {
                authorities.add(auth);
            }
        }
    }
    return authorities;
}

我的问题是：有没有更好的方法（最好是spring security本机）？

编辑：角色位于数据库中，以便允许动态插入新角色。当前权限也是如此，但可能会被删除以进行硬编码（动态权限在此特定实现中没有多大意义）

Answer 1

您需要扩展WebSecurityConfigurerAdapter以实现如下所示：

@Configuration
@EnableWebSecurity
@ComponentScan(basePackages = "com.spring.boot.rocks")
public class ConfigWebSecurity extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity httpSecurity) throws Exception {
    httpSecurity.authorizeRequests().antMatchers("/css/**")
            .permitAll();
httpSecurity.authorizeRequests().antMatchers("/only/for/admin/**").access("hasAuthority('ADMIN')")
....
....
}

这就是如何使用spring Security限制/允许对不同endpoint/URI的访问。注意最后一行，它限制以/only/for/admin开头的所有URL对除admin以外的所有角色/权限的访问。希望你想到了。一个完整的例子，看看这里和这里。