在 Spring Security中授予权限与角色

1. 概述

在这篇快速文章中，我们将解释Spring 安全性中角色和授予权限之间的微妙但显着的区别。有关角色和权限的更多详细信息，请参阅此处的文章。

2.授权

在Spring Security中，我们可以将每个GrantedAuthority视为一个单独的特权。示例可能包括READ_AUTHORITY、WRITE_PRIVILEGE 甚至CAN_EXECUTE_AS_ROOT。重要的是要了解该名称是任意的。

当直接使用GrantedAuthority时，例如通过使用像 hasAuthority（'READ_AUTHORITY'） 这样的表达式，我们以细粒度的方式限制访问。

正如你可能收集到的那样，我们也可以通过使用特权来引用权威的概念。

3. 作为权威的角色

类似地，在 Spring Security 中，我们可以将每个角色视为一个粗粒度的GrantedAuthority，它表示为字符串并以“ROLE”为前缀。当直接使用角色时，例如通过像hasRole（“ADMIN”）这样的表达式，我们以粗粒度的方式限制访问。

值得注意的是，默认的“ROLE”前缀是可配置的，但解释如何做到这一点超出了本文的范围。

这两者之间的核心区别在于我们对如何使用该功能的语义。对于框架来说，差异很小——它基本上以完全相同的方式处理这些问题。

4. 容器角色

现在我们已经了解了框架如何使用角色概念，让我们也快速讨论一个替代方案 -即将角色用作权限/特权的容器。

这是一种更高层次的角色方法，使它们成为更面向业务的概念，而不是以实施为中心的概念。

Spring 安全框架没有就我们应该如何使用这个概念提供任何指导，所以选择完全是特定于实现的。

5. 弹簧安全配置

我们可以通过将访问/保护权限限制为具有READ_AUTHORITY的用户来演示细粒度的授权要求。

我们可以通过将访问/protectedbyrole限制为具有ROLE_USER的用户来演示粗粒度的授权要求。

让我们在安全配置中配置这样的场景：

@Override
protected void configure(HttpSecurity http) throws Exception {
    // ...
    .antMatchers("/protectedbyrole").hasRole("USER")
    .antMatchers("/protectedbyauthority").hasAuthority("READ_PRIVILEGE")
    // ...
}

6. 简单的数据初始化

现在我们更好地理解了核心概念，让我们谈谈在应用程序启动时创建一些设置数据。

当然，这是一种非常简单的方法，可以在开发过程中与一些初步测试用户一起开始运行 - 而不是您应该在生产中处理数据的方式。

我们将侦听上下文刷新事件：

@Override
@Transactional
public void onApplicationEvent(ContextRefreshedEvent event) {
    MyPrivilege readPrivilege
      = createPrivilegeIfNotFound("READ_PRIVILEGE");
    MyPrivilege writePrivilege
      = createPrivilegeIfNotFound("WRITE_PRIVILEGE"); 
}

此处的实际实现并不重要 - 通常取决于您使用的持久性解决方案。重点是 - 我们保留了我们在代码中使用的权限。

7.用户详细信息服务

我们的UserDetailsService实现是进行权限映射的地方。一旦用户通过身份验证，我们的getAuthority（）方法就会填充并返回一个UserDetails对象：

private Collection getAuthorities(
  Collection roles) {
    List authorities
      = new ArrayList<>();
    for (Role role: roles) {
        authorities.add(new SimpleGrantedAuthority(role.getName()));
        role.getPrivileges().stream()
         .map(p -> new SimpleGrantedAuthority(p.getName()))
         .forEach(authorities::add);
    }
    
    return authorities;
}

8. 运行和测试示例

我们可以执行示例RolesAuthorityApplicationJava 应用程序，可以在GitHub 项目中找到。

若要查看基于角色的授权的实际应用，我们需要：

• 访问 http://localhost:8082/protectedbyrole
• 以user@test.com 身份进行身份验证（密码为“用户”)
• 注意授权成功
• 访问 http://localhost:8082/protectedbyauthority
• 注意授权失败

要查看基于权限的授权，我们需要注销应用程序，然后：

• 访问 http://localhost:8082/protectedbyauthority
• asadmin@test.com/ 管理员进行身份验证
• 注意授权成功
• 访问 http://localhsot:8082/protectedbyrole
• 注意授权失败

9. 结论

在这个快速教程中，我们研究了 Spring 安全性中角色和授予权限之间的微妙但显着的区别。