如何使用@PreAuthorize检查用户是否具有任何角色

Question

我跟随文章，https://docs.microsoft.com/en-us/azure/developer/java/spring-framework/configure-spring-boot-starter-java-app-with-azure-active-directory并创建了一个应用程序角色

使用hasAuthority，我可以验证单个角色。但是，我想允许管理员或具有参与者权限的用户。我尝试使用@PreAuthorize在多个角色中使用hasRole注释。

//  @PreAuthorize("hasAuthority('APPROLE_Admin')")
    @PreAuthorize("hasRole('Admin')")
    @GetMapping("/tutorials")
    public ResponseEntity<List<Tutorial>> getAllTutorials(@RequestParam(required = false) String title) {
        try {
            List<Tutorial> tutorials = new ArrayList<Tutorial>();

但它抛出以下错误

更新日期：2022年5月24日

此代码正在工作

 @PreAuthorize("hasAnyAuthority('APPROLE_Admin', 'APPROLE_Contributor')")

但是下面的代码引发了一个错误

 //@PreAuthorize("hasRole('ROLE_Admin')")
 //@PreAuthorize("hasAnyRole('Admin', 'Contributor')")
 //@PreAuthorize("hasAnyRole('ROLE_Admin', 'ROLE_Contributor')")

日志：

[nio-8080-exec-5] o.s.web.servlet.DispatcherServlet        : GET "/api/tutorials", parameters={}
[nio-8080-exec-5] s.w.s.m.m.a.RequestMappingHandlerMapping : Mapped to com.bezkoder.spring.mssql.controller.TutorialController#getAllTutorials(String)
[nio-8080-exec-5] o.s.web.servlet.DispatcherServlet        : Failed to complete request: org.springframework.security.access.AccessDeniedException: Access is denied
[nio-8080-exec-5] o.s.web.servlet.DispatcherServlet        : "ERROR" dispatch for GET "/error", parameters={}
[nio-8080-exec-5] s.w.s.m.m.a.RequestMappingHandlerMapping : Mapped to org.springframework.boot.autoconfigure.web.servlet.error.BasicErrorController#errorHtml(HttpServletRequest, HttpServletResponse)
[nio-8080-exec-5] o.s.w.s.v.ContentNegotiatingViewResolver : Selected 'text/html' given [text/html, text/html;q=0.8]
[nio-8080-exec-5] o.s.web.servlet.DispatcherServlet        : Exiting from "ERROR" dispatch, status 403

Answer 1

Spring Security性提供了两个表达式，我们可以使用@PreAuthorize注释来检查用户角色：

要检查单个角色，我们可以使用以下代码：

@PreAuthorize("hasRole('ROLE_ADMIN')")  
@GetMapping("/user/{id}")  
public String getUser(@PathVariable("id") String id)
 { 
 ...
}

我们还可以在一个表达式中检查多个角色，如下所示：

@PreAuthorize("hasAnyRole('ROLE_ADMIN','ROLE_MANAGER')")  
@GetMapping("/users")
  public String getUsers() 
  {
   ... 
}

在这种情况下，如果用户具有任何指定角色，则允许请求。

如果在没有适当角色的情况下调用该方法，Spring Security将引发异常并重定向到错误页面。