spring boot中基于角色的授权

Question

我对Spring靴还不熟悉。我需要在spring boot中实现基于角色的授权。我有不同的角色，多个用户将映射到每个角色。每当调用api时，我都会设置不同的访问权限（读取、添加、删除、编辑），需要检查访问权限并允许权限。我计划使用拦截器调用具有查询的方法，以从DB获取访问权限，并拒绝或访问api。有没有其他更好的方法我可以用同样的方法？

Answer 1

您可以创建自定义注释来处理每个角色的请求。您可以阅读本文以了解有关如何实现的更多详细信息。

并且在api中会有格式：

@GetMapping(...)
@YouCustomAnnotation("roleName")
public void doSomeThing(){
}

如果用户的角色与注释中的角色定义匹配，将调用此api；如果用户的角色不匹配，服务器将返回404代码。

Answer 2

对于授权，也可以有以下两种方式：

1. OAuth（参考-https://medium.com/@b/li>
2. Spring Security角色和特权（引用https://www.baeldung.com/role-and-privilege-for-spring-security-registration）

Answer 3

如果您使用的是Spring Security性，则可以使用方法安全性注释来处理它，如预授权、后授权。。甚至将它们组合成新的注释。

首先，您的用户需要实现UserDetails，然后您应该根据您的角色和权限结构实现getAuthorities（）方法Spring Security基本上检查getAuthority（）方法返回的值，如果返回的值前缀为“Role\u”，则返回的值与“Role\u ADMIN”类似权限您可以使用方法注释检查权限和角色，如以下示例所示：

@PreAuthorize("hasRole('ROLE_ADMIN') and hasAuthority("READ")") 

Spring Security将通过用户的实现检查您授予的权限，然后，根据您的注释，Spring Security将代表您自动检查。

为了清楚起见，您可以检查https://www.baeldung.com/spring-security-granted-authority-vs-role

对于快速工作的实现，您可以查看下面的文章（我不会直接使用它，但您可以理解它的想法。您也可以使用权限，但简单的解决方案可能是下面的解决方案。）：

https://www.baeldung.com/role-and-privilege-for-spring-security-registration