Spring Boot中的JDBC授权[复制]

Question

我正在尝试使用JDBC（mysql）设置简单的身份验证和授权。下面是我用来初始化用户的sql：

INSERT INTO users(username,password,enabled)
VALUES ('admin','admin', true);
INSERT INTO user_roles (username, role)
VALUES ('admin', 'USER');
INSERT INTO user_roles (username, role)
VALUES ('admin', 'ADMIN');

数据源属性：

spring.datasource.password=xxxx 
spring.datasource.url=jdbc:mysql://localhost:3306/spring
spring.datasource.username=xxx

安全配置：

 class ApplicationSecurity extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource source;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/uploadfiles/**").access("hasRole('ADMIN')");
        http.authorizeRequests().antMatchers("/fonts/**").permitAll();
        http.authorizeRequests().antMatchers("/").permitAll();
        http.authorizeRequests().anyRequest().fullyAuthenticated().and()
                .formLogin().loginPage("/login").defaultSuccessUrl("/").failureUrl("/login?error").permitAll().and()
                .logout().permitAll();
    }

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication().dataSource(source).
                usersByUsernameQuery("select username,password,enabled from users where username=?").
                authoritiesByUsernameQuery("select username, role from user_roles where username=?");
    }

}

登录效果很好，但当作为管理员尝试打开/上传文件链接时，我得到403响应。我还试图检查角色是否正确，它们是否正确。我用以下代码检查了它们：

Collection<SimpleGrantedAuthority> authorities = (Collection<SimpleGrantedAuthority>)    SecurityContextHolder.getContext().getAuthentication().getAuthorities();
            authorities.forEach(authority -> logger.info(authority.toString()));

另外，当我设置inMemoryAuthentication时，它的工作原理与预期一致，所以我猜它必须是mysql配置的。有人看到我代码中的错误吗？

Answer 1

将您的SQL查询修改为：

select username, concat('ROLE_',role) from user_roles where username=?

角色是以“角色”为前缀的权限。