Spring Security 中如何自定义授权逻辑？

推荐答案

在 Spring Security 中，自定义授权逻辑可以通过实现 AccessDecisionVoter 接口或使用 @PreAuthorize、@PostAuthorize 等注解来实现。以下是两种常见的方式：

1. 使用 AccessDecisionVoter 接口

通过实现 AccessDecisionVoter 接口，可以自定义投票逻辑来决定是否允许访问某个资源。

-- -------------------- ---- -------
------ ----- ----------- ---------- --------------------------- -

    ---------
    ------ ------- ------------------------ ---------- -
        ------ -----
    -

    ---------
    ------ ------- ----------------- ------ -
        ------ -----
    -

    ---------
    ------ --- ------------------- --------------- ------ ------- --------------------------- ----------- -
        -- -------
        -- --- ----- --- -
            ------ ---------------
        - ---- -
            ------ --------------
        -
    -
-

然后，将自定义的 AccessDecisionVoter 注册到 Spring Security 配置中：

-- -------------------- ---- -------
-----
------ --------------------- ----------------------- -
    ---------------------------- -------------- - --------------
        --- --------------
        --- ------------
        --- --------------------
    --
    ------ --- -------------------------------
-

2. 使用 @PreAuthorize 和 @PostAuthorize 注解

通过使用 @PreAuthorize 和 @PostAuthorize 注解，可以在方法级别上定义授权逻辑。

-- -------------------- ---- -------
--------
------ ----- --------- -

    ------------------------------- -- ------- -- -----------------------------
    ------ ---- ---------------- ------- -
        -- ----
    -

    ---------------------------------- -- -----------------------------------
    ------ -------- ---------------- --- -
        -- ----
        ------ ---------
    -
-

为了启用这些注解，需要在配置类上添加 @EnableGlobalMethodSecurity 注解：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 其他配置
}

本题详细解读

1. AccessDecisionVoter 接口

AccessDecisionVoter 是 Spring Security 中用于投票决定是否允许访问某个资源的接口。它有三个主要方法：

• supports(ConfigAttribute attribute)：判断是否支持特定的配置属性。
• supports(Class<?> clazz)：判断是否支持特定的类。
• vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes)：根据认证信息和配置属性进行投票。

通过实现 AccessDecisionVoter 接口，可以自定义投票逻辑，并将其集成到 Spring Security 的决策管理器中。

2. @PreAuthorize 和 @PostAuthorize 注解

@PreAuthorize 和 @PostAuthorize 是 Spring Security 提供的注解，用于在方法执行前后进行授权检查。

• @PreAuthorize：在方法执行前进行授权检查，通常用于验证调用者是否有权限执行该方法。
• @PostAuthorize：在方法执行后进行授权检查，通常用于验证返回的对象是否符合授权规则。

这些注解支持 SpEL（Spring Expression Language）表达式，可以灵活地定义授权逻辑。

3. 启用方法级安全

为了使用 @PreAuthorize 和 @PostAuthorize 注解，需要在 Spring Security 配置类上添加 @EnableGlobalMethodSecurity 注解，并设置 prePostEnabled = true。

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    // 其他配置
}

通过这种方式，可以在方法级别上灵活地定义授权逻辑，而不需要修改全局的安全配置。