一、简介
在Spring Security中，GrantedAuthority是一个很重要且必不可少的概念。它代表了一个特定权限，能够授予给UserDetails对象中的用户。在用户验证通过后，Spring Security使用GrantedAuthority对象来决定用户是否具有执行某个动作的权限。
GrantedAuthority是一个接口，通常使用SimpleGrantedAuthority类来实现，它可以接受一个权限参数，在实现时，我们可以通过这个参数来创建具有不同权限的SimpleGrantedAuthority对象。
public interface GrantedAuthority {
String getAuthority();
}
二、使用方式
在Spring Security中，我们可以通过以下方式来使用GrantedAuthority对象：
1、通过UserDetails对象创建Authorization对象：
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
// ...
List<GrantedAuthority> authorities = new ArrayList<>();
authorities.add(new SimpleGrantedAuthority("ROLE_USER"));
return new User(username, password, authorities);
}
2、使用方法注解来控制权限：
@PreAuthorize("hasAuthority('ROLE_USER')")
public void doSomething() {
// ...
}
3、使用access表达式来控制权限：
http.authorizeRequests()
.antMatchers("/admin/**").access("hasRole('ROLE_ADMIN')")
.antMatchers("/user/**").access("hasRole('ROLE_USER')")
.anyRequest().authenticated();
三、与数据库结合
在实际应用中，我们通常会将用户的权限信息存储在数据库中。因此，我们需要对Spring Security提供的默认的内存方式进行扩展，以支持从数据库中加载用户权限信息。这一过程涉及到两个重要的类：
1、UserDetailsService：从外部数据源加载用户信息
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
@Autowired
private UserRepository userRepository;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
Optional<User> user = userRepository.findByUsername(username);
if (!user.isPresent()) {
throw new UsernameNotFoundException("User not found!");
}
return new User(user.get().getUsername(), user.get().getPassword(), getAuthorities(user.get().getRoles()));
}
private List<GrantedAuthority> getAuthorities(Set<Role> roles) {
List<GrantedAuthority> authorities = new ArrayList<>();
for (Role role : roles) {
authorities.add(new SimpleGrantedAuthority(role.getName()));
}
return authorities;
}
}
2、UserDetailsManager：管理用户信息
在需要创建用户时，我们可以使用UserDetailsManager创建UserDetails对象：
@Autowired
private UserDetailsManager userDetailsManager;
public void createUser(String username, String password, Set<String> authorities) {
List<GrantedAuthority> grantedAuthorities = new ArrayList<>();
for (String authority : authorities) {
grantedAuthorities.add(new SimpleGrantedAuthority(authority));
}
// 使用UserDetailsManager创建UserDetails对象
UserDetails userDetails = User.builder()
.username(username)
.password(passwordEncoder.encode(password))
.authorities(grantedAuthorities)
.build();
userDetailsManager.createUser(userDetails);
}
四、总结
GrantedAuthority是Spring Security中一个非常核心的概念，它提供了权限控制和管理的基础。在实际应用中，我们通常会将用户权限信息存储在外部数据源中，并通过UserDetailsService从中加载信息，并通过UserDetailsManager管理用户信息。通过掌握这些知识，我们可以更好地理解Spring Security的权限管理机制，为我们的应用程序提供更为安全的保障。
原创文章，作者：小蓝，如若转载，请注明出处：https://www.506064.com/n/240833.html
微信扫一扫 
支付宝扫一扫 