Spring BootSpring Security分层角色

Question

我试图在我的Spring Boot应用程序中设置分层角色，但没有成功。我已经做了互联网上不同地方说过的所有事情。但是没有一个我能够解决这个问题。

这是我的SecurityConfig类的代码。当我用ROLE_ADMIN用户登录应用程序时，它应该能够从“/用户”检索数据，但目前我收到一个拒绝访问异常。如果用户有ROLE_USER凭据，它就可以正常工作。有人能帮我弄清楚是什么失败了吗？事先谢谢。

@Configuration
@EnableWebMvcSecurity
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SigpaUserDetailsService userDetailsService;

    @Bean
    public RoleHierarchyImpl roleHierarchy() {
        RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
        roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
        return roleHierarchy;
    }

    @Bean
    public RoleHierarchyVoter roleVoter() {     
        return new RoleHierarchyVoter(roleHierarchy());
    }

    @Bean 
    public DefaultWebSecurityExpressionHandler expressionHandler(){
        DefaultWebSecurityExpressionHandler expressionHandler = new DefaultWebSecurityExpressionHandler();
        expressionHandler.setRoleHierarchy(roleHierarchy());
        return expressionHandler;
    }

    @Bean
    @SuppressWarnings(value = { "rawtypes" })
    public AffirmativeBased accessDecisionManager() {       
        List<AccessDecisionVoter> decisionVoters = new ArrayList<AccessDecisionVoter>();
        WebExpressionVoter webExpressionVoter = new WebExpressionVoter();
        webExpressionVoter.setExpressionHandler(expressionHandler());
        decisionVoters.add(webExpressionVoter);
        decisionVoters.add(roleVoter());
        return new AffirmativeBased(decisionVoters);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .accessDecisionManager(accessDecisionManager())
            .expressionHandler(expressionHandler())
            .antMatchers("/users/**")
                .access("hasRole('ROLE_USER')")
            .anyRequest().authenticated();
        http
            .formLogin()
                .loginPage("/login").permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder registry)
            throws Exception {
        registry.userDetailsService(userDetailsService);
    }
}

更新：这是根据您的建议更新的代码，但仍然不起作用。

Answer 1

您必须在方法安全表达式处理程序上设置角色层次结构：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public static class GlobalMethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    @Autowired
    private RoleHierarchy roleHierarchy;

    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        final DefaultMethodSecurityExpressionHandler handler = new DefaultMethodSecurityExpressionHandler();
        handler.setRoleHierarchy(this.roleHierarchy);
        return handler;
    }
}

有关更多信息，请查看Javadoc中的@EnableGlobalMethodSecurity。特别注意：为了确定设置，扩展GlobalMethodSecurity配置的类中仍然必须包含EnableGlobalMethodSecurity。

Answer 2

您需要在web上设置角色层次结构。比如：

DefaultWebSecurityExpressionHandler expressionHandler = new DefaultWebSecurityExpressionHandler();
expressionHandler.setRoleHierarchy(roleHierarchy);
webExpressionVoter.setExpressionHandler(expressionHandler);

更新：您也可以尝试像这样设置上面的表达式处理程序：

http
    .authorizeRequests()
    .expressionHandler(expressionHandler)
    ...

Answer 3

我刚刚经历了这些设置，所以现在肯定会让你开始跑步。交易是这样的：

你带来了这个注解@EnableGlobalMethodSecurity（securedEnabled=true，Preprestenabled=true），但没有显示任何使用预/后授权/筛选的代码，所以我不知道你是否真的需要它。

>

@Bean
public RoleHierarchyImpl roleHierarchy() {
    RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
    roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
    return roleHierarchy;
}

和

        private SecurityExpressionHandler<FilterInvocation> webExpressionHandler() {
            DefaultWebSecurityExpressionHandler defaultWebSecurityExpressionHandler = new DefaultWebSecurityExpressionHandler();
            defaultWebSecurityExpressionHandler.setRoleHierarchy(roleHierarchy());
            return defaultWebSecurityExpressionHandler;
        }

http
        .authorizeRequests()
        .expressionHandler(webExpressionHandler())

如果只需要引入角色层次结构，则不必使用自己的accessDecisionManager进行覆盖。

如果您还需要类/方法级别的安全性，即在您的方法/类上使用PreAuthoriza， PostAuthoriza， PreFilter， PostFilter，那么也可以在类路径中创建这样的@Configance（并从GlobalomeodSecurityConfig类中删除@EnableGlobalmetodSecurity注释）：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled=true)
public class AnyNameYouLike extends GlobalMethodSecurityConfiguration {

@Resource
private RoleHierarchy roleHierarchy;

@Override
protected MethodSecurityExpressionHandler createExpressionHandler() {
    DefaultMethodSecurityExpressionHandler expressionHandler = (DefaultMethodSecurityExpressionHandler) super.createExpressionHandler();
    expressionHandler.setRoleHierarchy(roleHierarchy);
    return expressionHandler;
}

}

我会给这个新类命名为GlobalMethodSecurityConfig，并将当前的GlobalMethodSecurityConfig类更改为WebSecurityConfig或其他内容，以反映它是web层的安全设置。

我在webSecurityConfig中定义了RoleHiLevel ybean，并将其注入/使用到globalomeodSecurityConfig中，但是您可以以任何您喜欢的方式进行，只要您不创建2个bean就行了。

希望这有帮助。