SpringBoot使用Spring Security實(shí)現(xiàn)基于URL的接口權(quán)限控制
更新時(shí)間：2026年06月14日 15:59:55 作者：知遠(yuǎn)漫談
在現(xiàn)代Web應(yīng)用開發(fā)中,安全性是至關(guān)重要的考量因素,Spring Security作為Spring生態(tài)中最成熟、最廣泛使用的安全框架,其中,接口級(jí)別的URL權(quán)限控制是實(shí)現(xiàn)訪問控制的核心手段之一,本文將深入探討如何在SpringBoot項(xiàng)目中使用Spring Security實(shí)現(xiàn)基于 URL 的接口權(quán)限控制
前言
在現(xiàn)代 Web 應(yīng)用開發(fā)中，安全性是至關(guān)重要的考量因素。Spring Security 作為 Spring 生態(tài)中最成熟、最廣泛使用的安全框架，為開發(fā)者提供了強(qiáng)大的認(rèn)證（Authentication）和授權(quán)（Authorization）功能。其中，接口級(jí)別的 URL 權(quán)限控制是實(shí)現(xiàn)細(xì)粒度訪問控制的核心手段之一。
本文將深入探討如何在 Spring Boot 項(xiàng)目中使用 Spring Security 實(shí)現(xiàn)基于 URL 的接口權(quán)限控制，涵蓋從基礎(chǔ)配置到高級(jí)定制的完整實(shí)踐路徑。我們將通過大量可運(yùn)行的 Java 代碼示例，逐步構(gòu)建一個(gè)具備完善權(quán)限體系的 RESTful API 應(yīng)用。
為什么需要接口級(jí)別的 URL 權(quán)限控制？
在傳統(tǒng)的 Web 應(yīng)用中，權(quán)限控制往往停留在頁面級(jí)別或菜單級(jí)別。然而，在微服務(wù)架構(gòu)和前后端分離的趨勢下，后端更多地以 RESTful API 的形式提供服務(wù)，前端通過調(diào)用這些接口獲取數(shù)據(jù)。此時(shí)，頁面級(jí)別的權(quán)限控制已遠(yuǎn)遠(yuǎn)不夠，必須對(duì)每個(gè) API 接口進(jìn)行精確的權(quán)限管理。
例如：
- 普通用戶只能查看自己的訂單信息
- 管理員可以查看所有用戶的訂單
- 財(cái)務(wù)人員可以導(dǎo)出銷售報(bào)表，但不能修改用戶信息
這些需求都要求我們?cè)?接口層面 進(jìn)行權(quán)限判斷，確保只有具備相應(yīng)權(quán)限的用戶才能訪問特定的 URL 路徑。
Spring Security 的核心概念
在深入代碼之前，我們需要理解 Spring Security 中幾個(gè)關(guān)鍵概念：
認(rèn)證（Authentication）
驗(yàn)證用戶身份的過程，通常通過用戶名和密碼完成。認(rèn)證成功后，Spring Security 會(huì)創(chuàng)建一個(gè) Authentication 對(duì)象，包含用戶的身份信息和權(quán)限列表。
授權(quán)（Authorization）
在用戶身份確認(rèn)后，決定該用戶是否有權(quán)訪問特定資源的過程。授權(quán)可以基于角色（Role）、權(quán)限（Authority）或其他自定義邏輯。
SecurityContext
存儲(chǔ)當(dāng)前用戶安全上下文的容器，可以通過 SecurityContextHolder.getContext() 獲取。其中包含了當(dāng)前用戶的 Authentication 對(duì)象。
AccessDecisionManager
負(fù)責(zé)做出最終的訪問決策，它會(huì)調(diào)用多個(gè) AccessDecisionVoter 進(jìn)行投票，根據(jù)投票結(jié)果決定是否允許訪問。
基礎(chǔ)項(xiàng)目搭建
讓我們從一個(gè)簡單的 Spring Boot 項(xiàng)目開始。首先，添加必要的依賴：
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-data-jpa</artifactId>
</dependency>
<dependency>
<groupId>com.h2database</groupId>
<artifactId>h2</artifactId>
<scope>runtime</scope>
</dependency>
</dependencies>創(chuàng)建一個(gè)簡單的用戶實(shí)體類：
@Entity
@Table(name = "users")
public class User {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
@Column(unique = true)
private String username;
private String password;
private String roles; // 例如: "ROLE_USER,ROLE_ADMIN"
// 構(gòu)造函數(shù)、getter、setter 省略
}
對(duì)應(yīng)的 Repository：
@Repository
public interface UserRepository extends JpaRepository<User, Long> {
Optional<User> findByUsername(String username);
}
基于內(nèi)存的簡單權(quán)限配置
最簡單的 URL 權(quán)限控制方式是使用 HttpSecurity 的 authorizeHttpRequests() 方法。讓我們創(chuàng)建一個(gè)基礎(chǔ)的安全配置類：
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/public/**").permitAll()
.requestMatchers("/admin/**").hasRole("ADMIN")
.requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
.anyRequest().authenticated()
)
.formLogin(form -> form
.loginPage("/login")
.permitAll()
)
.logout(logout -> logout
.permitAll()
);
return http.build();
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
在這個(gè)配置中：
/public/**路徑對(duì)所有用戶開放/admin/**路徑僅限具有ROLE_ADMIN角色的用戶訪問/user/**路徑對(duì)具有ROLE_USER或ROLE_ADMIN角色的用戶開放- 其他所有請(qǐng)求都需要認(rèn)證
注意：Spring Security 會(huì)自動(dòng)為角色名稱添加 ROLE_ 前綴，所以我們?cè)跀?shù)據(jù)庫中存儲(chǔ)的角色應(yīng)該是 ROLE_ADMIN 而不是 ADMIN。
創(chuàng)建對(duì)應(yīng)的控制器：
@RestController
public class DemoController {
@GetMapping("/public/hello")
public String publicHello() {
return "Hello, Public!";
}
@GetMapping("/user/profile")
public String userProfile(Authentication authentication) {
return "Hello, " + authentication.getName() + "! This is your profile.";
}
@GetMapping("/admin/dashboard")
public String adminDashboard() {
return "Admin Dashboard - Welcome!";
}
}
基于數(shù)據(jù)庫的動(dòng)態(tài)權(quán)限配置
硬編碼的權(quán)限配置在實(shí)際項(xiàng)目中往往不夠靈活。我們需要從數(shù)據(jù)庫中動(dòng)態(tài)加載權(quán)限規(guī)則。為此，我們需要?jiǎng)?chuàng)建權(quán)限相關(guān)的實(shí)體類。
首先，重構(gòu)用戶模型，使用更規(guī)范的多對(duì)多關(guān)系：
@Entity
@Table(name = "users")
public class User {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
@Column(unique = true)
private String username;
private String password;
@ManyToMany(fetch = FetchType.EAGER)
@JoinTable(
name = "user_roles",
joinColumns = @JoinColumn(name = "user_id"),
inverseJoinColumns = @JoinColumn(name = "role_id")
)
private Set<Role> roles = new HashSet<>();
// 構(gòu)造函數(shù)、getter、setter 省略
}
@Entity
@Table(name = "roles")
public class Role {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
@Column(unique = true)
private String name; // 例如: "ROLE_ADMIN"
@ManyToMany(mappedBy = "roles")
private Set<User> users = new HashSet<>();
// 構(gòu)造函數(shù)、getter、setter 省略
}
@Entity
@Table(name = "permissions")
public class Permission {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
@Column(unique = true)
private String urlPattern; // 例如: "/api/admin/**"
private String requiredRole; // 例如: "ROLE_ADMIN"
// 構(gòu)造函數(shù)、getter、setter 省略
}
創(chuàng)建對(duì)應(yīng)的 Repository：
@Repository
public interface PermissionRepository extends JpaRepository<Permission, Long> {
List<Permission> findAll();
}
現(xiàn)在，我們需要?jiǎng)?chuàng)建一個(gè)自定義的 RequestMatcher，能夠從數(shù)據(jù)庫中加載權(quán)限規(guī)則并進(jìn)行匹配：
@Component
public class DatabaseUrlAuthorizationManager implements AuthorizationManager<RequestAuthorizationContext> {
@Autowired
private PermissionRepository permissionRepository;
// 緩存權(quán)限規(guī)則，避免每次請(qǐng)求都查詢數(shù)據(jù)庫
private volatile List<Permission> cachedPermissions = null;
private final Object cacheLock = new Object();
@Override
public AuthorizationDecision check(Supplier<Authentication> authentication,
RequestAuthorizationContext context) {
HttpServletRequest request = context.getRequest();
String requestURI = request.getRequestURI();
// 加載權(quán)限規(guī)則（帶緩存）
List<Permission> permissions = loadPermissions();
// 查找匹配的權(quán)限規(guī)則
for (Permission permission : permissions) {
if (pathMatches(permission.getUrlPattern(), requestURI)) {
// 檢查用戶是否具有所需角色
Authentication auth = authentication.get();
if (auth != null && hasRole(auth, permission.getRequiredRole())) {
return new AuthorizationDecision(true);
}
return new AuthorizationDecision(false);
}
}
// 如果沒有匹配的規(guī)則，默認(rèn)允許已認(rèn)證用戶訪問
return new AuthorizationDecision(authentication.get() != null);
}
private List<Permission> loadPermissions() {
if (cachedPermissions == null) {
synchronized (cacheLock) {
if (cachedPermissions == null) {
cachedPermissions = permissionRepository.findAll();
}
}
}
return cachedPermissions;
}
private boolean pathMatches(String pattern, String path) {
// 簡單的通配符匹配實(shí)現(xiàn)
if (pattern.equals(path)) {
return true;
}
if (pattern.endsWith("/**")) {
String prefix = pattern.substring(0, pattern.length() - 3);
return path.startsWith(prefix);
}
if (pattern.endsWith("/*")) {
String prefix = pattern.substring(0, pattern.length() - 2);
return path.startsWith(prefix) && path.indexOf('/', prefix.length()) == -1;
}
return false;
}
private boolean hasRole(Authentication auth, String requiredRole) {
Collection<? extends GrantedAuthority> authorities = auth.getAuthorities();
return authorities.stream()
.anyMatch(authority -> authority.getAuthority().equals(requiredRole));
}
}
更新安全配置類，使用我們的自定義授權(quán)管理器：
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Autowired
private DatabaseUrlAuthorizationManager urlAuthorizationManager;
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/public/**").permitAll()
.anyRequest().access(urlAuthorizationManager)
)
.formLogin(form -> form
.loginPage("/login")
.permitAll()
)
.logout(logout -> logout
.permitAll()
);
return http.build();
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
// 添加緩存清理方法，用于權(quán)限變更時(shí)刷新緩存
public void clearPermissionCache() {
urlAuthorizationManager.clearCache();
}
}
在 DatabaseUrlAuthorizationManager 中添加緩存清理方法：
public void clearCache() {
synchronized (cacheLock) {
this.cachedPermissions = null;
}
}
實(shí)現(xiàn)用戶詳情服務(wù)
為了讓 Spring Security 能夠正確加載用戶信息和權(quán)限，我們需要實(shí)現(xiàn) UserDetailsService 接口：
@Service
public class CustomUserDetailsService implements UserDetailsService {
@Autowired
private UserRepository userRepository;
@Override
@Transactional
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
User user = userRepository.findByUsername(username)
.orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
return org.springframework.security.core.userdetails.User.builder()
.username(user.getUsername())
.password(user.getPassword())
.authorities(user.getRoles().stream()
.map(role -> new SimpleGrantedAuthority(role.getName()))
.collect(Collectors.toList()))
.build();
}
}
更新安全配置，注入我們的 UserDetailsService：
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Autowired
private CustomUserDetailsService userDetailsService;
@Autowired
private DatabaseUrlAuthorizationManager urlAuthorizationManager;
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/public/**").permitAll()
.anyRequest().access(urlAuthorizationManager)
)
.formLogin(form -> form
.loginPage("/login")
.permitAll()
)
.logout(logout -> logout
.permitAll()
);
return http.build();
}
@Bean
public DaoAuthenticationProvider authenticationProvider() {
DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
authProvider.setUserDetailsService(userDetailsService);
authProvider.setPasswordEncoder(passwordEncoder());
return authProvider;
}
@Bean
public AuthenticationManager authenticationManager(AuthenticationConfiguration authConfig)
throws Exception {
return authConfig.getAuthenticationManager();
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
基于表達(dá)式的高級(jí)權(quán)限控制
Spring Security 支持使用 SpEL（Spring Expression Language）進(jìn)行更復(fù)雜的權(quán)限表達(dá)式。我們可以通過 @PreAuthorize 注解在方法級(jí)別進(jìn)行權(quán)限控制。
首先，在主配置類上啟用方法級(jí)安全：
@SpringBootApplication
@EnableMethodSecurity(prePostEnabled = true)
public class Application {
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
然后在控制器方法上使用注解：
@RestController
@RequestMapping("/api")
public class ApiController {
@GetMapping("/user/{id}")
@PreAuthorize("@securityService.canAccessUser(principal, #id)")
public ResponseEntity<UserDto> getUser(@PathVariable Long id) {
// 返回用戶信息
return ResponseEntity.ok(new UserDto());
}
@PostMapping("/order")
@PreAuthorize("hasRole('USER') and #order.userId == principal.id")
public ResponseEntity<Order> createOrder(@RequestBody Order order) {
// 創(chuàng)建訂單
return ResponseEntity.ok(order);
}
@DeleteMapping("/user/{id}")
@PreAuthorize("hasRole('ADMIN') or (hasRole('USER') and #id == principal.id)")
public ResponseEntity<Void> deleteUser(@PathVariable Long id) {
// 刪除用戶
return ResponseEntity.noContent().build();
}
}
創(chuàng)建一個(gè)安全服務(wù)類來處理復(fù)雜的業(yè)務(wù)邏輯：
@Service
public class SecurityService {
@Autowired
private UserRepository userRepository;
public boolean canAccessUser(UserDetails userDetails, Long userId) {
if (userDetails.getAuthorities().stream()
.anyMatch(a -> a.getAuthority().equals("ROLE_ADMIN"))) {
return true;
}
User user = userRepository.findByUsername(userDetails.getUsername()).orElse(null);
return user != null && user.getId().equals(userId);
}
}
這種方法的優(yōu)勢在于可以將復(fù)雜的業(yè)務(wù)邏輯封裝在服務(wù)方法中，使權(quán)限控制更加靈活和可維護(hù)。
自定義權(quán)限決策投票器
對(duì)于更復(fù)雜的場景，我們可以實(shí)現(xiàn)自定義的 AccessDecisionVoter。這種方式允許我們?cè)诙鄠€(gè)投票器之間進(jìn)行協(xié)調(diào)，實(shí)現(xiàn)更精細(xì)的權(quán)限控制。
首先，創(chuàng)建自定義投票器：
@Component
public class CustomPermissionVoter implements AccessDecisionVoter<FilterInvocation> {
@Autowired
private PermissionRepository permissionRepository;
@Override
public boolean supports(ConfigAttribute attribute) {
return true;
}
@Override
public boolean supports(Class<?> clazz) {
return FilterInvocation.class.isAssignableFrom(clazz);
}
@Override
public int vote(Authentication authentication, FilterInvocation fi,
Collection<ConfigAttribute> attributes) {
HttpServletRequest request = fi.getRequest();
String requestURI = request.getRequestURI();
// 從數(shù)據(jù)庫查找匹配的權(quán)限規(guī)則
List<Permission> permissions = permissionRepository.findAll();
for (Permission permission : permissions) {
if (pathMatches(permission.getUrlPattern(), requestURI)) {
String requiredRole = permission.getRequiredRole();
if (hasRole(authentication, requiredRole)) {
return ACCESS_GRANTED;
} else {
return ACCESS_DENIED;
}
}
}
// 如果沒有匹配的規(guī)則，棄權(quán)
return ACCESS_ABSTAIN;
}
private boolean pathMatches(String pattern, String path) {
// 同之前的實(shí)現(xiàn)
if (pattern.equals(path)) {
return true;
}
if (pattern.endsWith("/**")) {
String prefix = pattern.substring(0, pattern.length() - 3);
return path.startsWith(prefix);
}
if (pattern.endsWith("/*")) {
String prefix = pattern.substring(0, pattern.length() - 2);
return path.startsWith(prefix) && path.indexOf('/', prefix.length()) == -1;
}
return false;
}
private boolean hasRole(Authentication auth, String requiredRole) {
if (auth == null || !auth.isAuthenticated()) {
return false;
}
Collection<? extends GrantedAuthority> authorities = auth.getAuthorities();
return authorities.stream()
.anyMatch(authority -> authority.getAuthority().equals(requiredRole));
}
}
然后配置自定義的 AccessDecisionManager：
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Autowired
private CustomPermissionVoter customPermissionVoter;
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/public/**").permitAll()
.anyRequest().authenticated()
)
.formLogin(form -> form
.loginPage("/login")
.permitAll()
)
.logout(logout -> logout
.permitAll()
);
return http.build();
}
@Bean
public AccessDecisionManager accessDecisionManager() {
List<AccessDecisionVoter<? extends Object>> decisionVoters = Arrays.asList(
new WebExpressionVoter(),
customPermissionVoter
);
return new UnanimousBased(decisionVoters);
}
// 其他配置...
}
處理權(quán)限異常
當(dāng)用戶嘗試訪問未授權(quán)的資源時(shí)，Spring Security 會(huì)拋出 AccessDeniedException。我們需要自定義異常處理器來返回友好的錯(cuò)誤信息。
創(chuàng)建全局異常處理器：
@ControllerAdvice
public class GlobalExceptionHandler {
@ExceptionHandler(AccessDeniedException.class)
public ResponseEntity<ErrorResponse> handleAccessDeniedException(AccessDeniedException ex) {
ErrorResponse error = new ErrorResponse(
"ACCESS_DENIED",
"You don't have permission to access this resource",
HttpStatus.FORBIDDEN.value()
);
return ResponseEntity.status(HttpStatus.FORBIDDEN).body(error);
}
@ExceptionHandler(AuthenticationException.class)
public ResponseEntity<ErrorResponse> handleAuthenticationException(AuthenticationException ex) {
ErrorResponse error = new ErrorResponse(
"AUTHENTICATION_FAILED",
"Authentication failed",
HttpStatus.UNAUTHORIZED.value()
);
return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body(error);
}
}
class ErrorResponse {
private String code;
private String message;
private int status;
// 構(gòu)造函數(shù)、getter、setter
public ErrorResponse(String code, String message, int status) {
this.code = code;
this.message = message;
this.status = status;
}
}
對(duì)于 RESTful API，我們還需要配置 Spring Security 返回 JSON 格式的錯(cuò)誤響應(yīng)而不是重定向到登錄頁面：
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/public/**").permitAll()
.anyRequest().authenticated()
)
.exceptionHandling(exception -> exception
.authenticationEntryPoint((request, response, authException) -> {
response.setStatus(HttpStatus.UNAUTHORIZED.value());
response.setContentType("application/json");
response.getWriter().write(
"{\"error\":\"Unauthorized\",\"message\":\"Authentication required\"}"
);
})
.accessDeniedHandler((request, response, accessDeniedException) -> {
response.setStatus(HttpStatus.FORBIDDEN.value());
response.setContentType("application/json");
response.getWriter().write(
"{\"error\":\"Forbidden\",\"message\":\"Access denied\"}"
);
})
)
.csrf(csrf -> csrf.disable()) // 對(duì)于 REST API，通常禁用 CSRF
.sessionManagement(session -> session
.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
);
return http.build();
}
// 其他配置...
}
JWT 集成與無狀態(tài)權(quán)限控制
在現(xiàn)代 Web 應(yīng)用中，特別是前后端分離的架構(gòu)中，JWT（JSON Web Token）是常用的認(rèn)證機(jī)制。讓我們看看如何將 JWT 與 Spring Security 的 URL 權(quán)限控制集成。
首先，添加 JWT 依賴：
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-api</artifactId>
<version>0.11.5</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-impl</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-jackson</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>創(chuàng)建 JWT 工具類：
@Component
public class JwtUtil {
private String secret = "mySecretKey"; // 實(shí)際項(xiàng)目中應(yīng)該從配置文件讀取
private int jwtExpirationMs = 86400000; // 24小時(shí)
public String generateToken(UserDetails userDetails) {
Map<String, Object> claims = new HashMap<>();
return Jwts.builder()
.setClaims(claims)
.setSubject(userDetails.getUsername())
.setIssuedAt(new Date(System.currentTimeMillis()))
.setExpiration(new Date(System.currentTimeMillis() + jwtExpirationMs))
.signWith(SignatureAlgorithm.HS512, secret)
.compact();
}
public String getUsernameFromToken(String token) {
return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getSubject();
}
public boolean validateToken(String token, UserDetails userDetails) {
final String username = getUsernameFromToken(token);
return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));
}
private boolean isTokenExpired(String token) {
final Date expiration = Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getExpiration();
return expiration.before(new Date());
}
}
創(chuàng)建 JWT 認(rèn)證過濾器：
@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {
@Autowired
private CustomUserDetailsService userDetailsService;
@Autowired
private JwtUtil jwtUtil;
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
FilterChain filterChain) throws ServletException, IOException {
final String requestTokenHeader = request.getHeader("Authorization");
String username = null;
String jwtToken = null;
if (requestTokenHeader != null && requestTokenHeader.startsWith("Bearer ")) {
jwtToken = requestTokenHeader.substring(7);
try {
username = jwtUtil.getUsernameFromToken(jwtToken);
} catch (IllegalArgumentException e) {
logger.error("Unable to get JWT Token");
} catch (ExpiredJwtException e) {
logger.error("JWT Token has expired");
}
}
if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);
if (jwtUtil.validateToken(jwtToken, userDetails)) {
UsernamePasswordAuthenticationToken authToken =
new UsernamePasswordAuthenticationToken(
userDetails, null, userDetails.getAuthorities());
authToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
SecurityContextHolder.getContext().setAuthentication(authToken);
}
}
filterChain.doFilter(request, response);
}
}
更新安全配置以支持 JWT：
@Configuration
@EnableWebSecurity
public class SecurityConfig {
@Autowired
private JwtAuthenticationFilter jwtAuthenticationFilter;
@Autowired
private DatabaseUrlAuthorizationManager urlAuthorizationManager;
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.csrf(csrf -> csrf.disable())
.sessionManagement(session -> session
.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
)
.authorizeHttpRequests(authz -> authz
.requestMatchers("/auth/login", "/public/**").permitAll()
.anyRequest().access(urlAuthorizationManager)
)
.exceptionHandling(exception -> exception
.authenticationEntryPoint((request, response, authException) -> {
response.setStatus(HttpStatus.UNAUTHORIZED.value());
response.setContentType("application/json");
response.getWriter().write(
"{\"error\":\"Unauthorized\",\"message\":\"Authentication required\"}"
);
})
.accessDeniedHandler((request, response, accessDeniedException) -> {
response.setStatus(HttpStatus.FORBIDDEN.value());
response.setContentType("application/json");
response.getWriter().write(
"{\"error\":\"Forbidden\",\"message\":\"Access denied\"}"
);
})
);
http.addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
return http.build();
}
// 其他配置...
}
創(chuàng)建認(rèn)證控制器：
@RestController
@RequestMapping("/auth")
public class AuthController {
@Autowired
private AuthenticationManager authenticationManager;
@Autowired
private CustomUserDetailsService userDetailsService;
@Autowired
private JwtUtil jwtUtil;
@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest loginRequest) {
try {
authenticationManager.authenticate(
new UsernamePasswordAuthenticationToken(
loginRequest.getUsername(),
loginRequest.getPassword()
)
);
} catch (BadCredentialsException e) {
return ResponseEntity.status(HttpStatus.UNAUTHORIZED)
.body(new ErrorResponse("INVALID_CREDENTIALS", "Invalid username or password", 401));
}
final UserDetails userDetails = userDetailsService.loadUserByUsername(loginRequest.getUsername());
final String token = jwtUtil.generateToken(userDetails);
return ResponseEntity.ok(new JwtResponse(token));
}
}
class LoginRequest {
private String username;
private String password;
// getter、setter
}
class JwtResponse {
private String token;
// 構(gòu)造函數(shù)、getter、setter
public JwtResponse(String token) {
this.token = token;
}
}
性能優(yōu)化與緩存策略
在高并發(fā)場景下，頻繁查詢數(shù)據(jù)庫進(jìn)行權(quán)限驗(yàn)證會(huì)影響性能。我們需要合理的緩存策略來優(yōu)化性能。
權(quán)限規(guī)則緩存
我們已經(jīng)在 DatabaseUrlAuthorizationManager 中實(shí)現(xiàn)了簡單的緩存，但可以進(jìn)一步優(yōu)化：
@Component
public class DatabaseUrlAuthorizationManager implements AuthorizationManager<RequestAuthorizationContext> {
@Autowired
private PermissionRepository permissionRepository;
// 使用 Caffeine 緩存（需要添加依賴）
private final Cache<String, List<Permission>> permissionCache = Caffeine.newBuilder()
.maximumSize(1000)
.expireAfterWrite(10, TimeUnit.MINUTES)
.build();
private static final String CACHE_KEY = "all_permissions";
@Override
public AuthorizationDecision check(Supplier<Authentication> authentication,
RequestAuthorizationContext context) {
HttpServletRequest request = context.getRequest();
String requestURI = request.getRequestURI();
List<Permission> permissions = permissionCache.get(CACHE_KEY, k ->
permissionRepository.findAll());
// 匹配邏輯...
}
public void clearCache() {
permissionCache.invalidate(CACHE_KEY);
}
}
添加 Caffeine 依賴：
<dependency>
<groupId>com.github.ben-manes.caffeine</groupId>
<artifactId>caffeine</artifactId>
</dependency>用戶權(quán)限緩存
同樣，用戶的角色和權(quán)限信息也可以緩存：
@Service
public class CustomUserDetailsService implements UserDetailsService {
@Autowired
private UserRepository userRepository;
private final Cache<String, UserDetails> userCache = Caffeine.newBuilder()
.maximumSize(1000)
.expireAfterWrite(30, TimeUnit.MINUTES)
.build();
@Override
@Transactional
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
return userCache.get(username, key -> {
User user = userRepository.findByUsername(username)
.orElseThrow(() -> new UsernameNotFoundException("User not found: " + username));
return org.springframework.security.core.userdetails.User.builder()
.username(user.getUsername())
.password(user.getPassword())
.authorities(user.getRoles().stream()
.map(role -> new SimpleGrantedAuthority(role.getName()))
.collect(Collectors.toList()))
.build();
});
}
public void clearUserCache(String username) {
userCache.invalidate(username);
}
}
測試權(quán)限控制
編寫單元測試來驗(yàn)證我們的權(quán)限控制邏輯：
@SpringBootTest
@AutoConfigureTestDatabase
@Transactional
class SecurityIntegrationTest {
@Autowired
private TestRestTemplate restTemplate;
@Autowired
private UserRepository userRepository;
@Autowired
private PasswordEncoder passwordEncoder;
@Test
void testPublicEndpointAccessibleWithoutAuth() {
ResponseEntity<String> response = restTemplate.getForEntity("/public/hello", String.class);
assertThat(response.getStatusCode()).isEqualTo(HttpStatus.OK);
}
@Test
void testProtectedEndpointRequiresAuth() {
ResponseEntity<String> response = restTemplate.getForEntity("/user/profile", String.class);
assertThat(response.getStatusCode()).isEqualTo(HttpStatus.UNAUTHORIZED);
}
@Test
@WithMockUser(username = "admin", roles = {"ADMIN"})
void testAdminEndpointWithAdminRole() {
ResponseEntity<String> response = restTemplate.getForEntity("/admin/dashboard", String.class);
assertThat(response.getStatusCode()).isEqualTo(HttpStatus.OK);
}
@Test
@WithMockUser(username = "user", roles = {"USER"})
void testAdminEndpointWithoutAdminRole() {
ResponseEntity<String> response = restTemplate.getForEntity("/admin/dashboard", String.class);
assertThat(response.getStatusCode()).isEqualTo(HttpStatus.FORBIDDEN);
}
@BeforeEach
void setupUsers() {
// 創(chuàng)建測試用戶
User admin = new User();
admin.setUsername("admin");
admin.setPassword(passwordEncoder.encode("password"));
admin.setRoles(Set.of(new Role("ROLE_ADMIN")));
userRepository.save(admin);
User user = new User();
user.setUsername("user");
user.setPassword(passwordEncoder.encode("password"));
user.setRoles(Set.of(new Role("ROLE_USER")));
userRepository.save(user);
}
}
最佳實(shí)踐與安全建議
1. 最小權(quán)限原則
始終遵循最小權(quán)限原則，只授予用戶完成其工作所需的最小權(quán)限集。這可以減少安全漏洞的影響范圍。
2. 定期審計(jì)權(quán)限配置
定期審查和審計(jì)權(quán)限配置，確保沒有過度授權(quán)的情況?？梢越?quán)限變更的審批流程。
3. 使用 HTTPS
在生產(chǎn)環(huán)境中，始終使用 HTTPS 來保護(hù)認(rèn)證憑據(jù)和敏感數(shù)據(jù)的傳輸。可以在 Spring Security 中強(qiáng)制使用 HTTPS：
http.requiresChannel(channel -> channel
.requestMatchers(r -> r.getHeader("X-Forwarded-Proto") != null)
.requiresSecure());
4. 防止權(quán)限提升攻擊
確保權(quán)限檢查邏輯不會(huì)被繞過。例如，在更新用戶信息時(shí)，不僅要檢查用戶是否有編輯權(quán)限，還要驗(yàn)證用戶是否在編輯自己的信息（除非是管理員）。
5. 日志記錄與監(jiān)控
記錄所有權(quán)限相關(guān)的事件，包括成功的訪問和被拒絕的訪問嘗試。這有助于安全審計(jì)和異常檢測。
@Component
public class SecurityEventListener {
private static final Logger logger = LoggerFactory.getLogger(SecurityEventListener.class);
@EventListener
public void handleAuthenticationSuccess(AuthenticationSuccessEvent event) {
logger.info("User {} authenticated successfully", event.getAuthentication().getName());
}
@EventListener
public void handleAccessDenied(AuthorizationDeniedEvent<?> event) {
Authentication auth = event.getAuthentication();
String username = auth != null ? auth.getName() : "anonymous";
logger.warn("Access denied for user {} to resource {}", username, event.getObject());
}
}
高級(jí)主題：動(dòng)態(tài)權(quán)限更新
在實(shí)際應(yīng)用中，權(quán)限配置可能需要在運(yùn)行時(shí)動(dòng)態(tài)更新。我們需要確保權(quán)限變更能夠及時(shí)生效。
創(chuàng)建權(quán)限管理服務(wù)：
@Service
@Transactional
public class PermissionManagementService {
@Autowired
private PermissionRepository permissionRepository;
@Autowired
private DatabaseUrlAuthorizationManager authorizationManager;
@Autowired
private CustomUserDetailsService userDetailsService;
public Permission createPermission(String urlPattern, String requiredRole) {
Permission permission = new Permission();
permission.setUrlPattern(urlPattern);
permission.setRequiredRole(requiredRole);
Permission saved = permissionRepository.save(permission);
authorizationManager.clearCache(); // 清除權(quán)限緩存
return saved;
}
public void updatePermission(Long id, String urlPattern, String requiredRole) {
Permission permission = permissionRepository.findById(id)
.orElseThrow(() -> new EntityNotFoundException("Permission not found"));
permission.setUrlPattern(urlPattern);
permission.setRequiredRole(requiredRole);
permissionRepository.save(permission);
authorizationManager.clearCache();
}
public void deletePermission(Long id) {
permissionRepository.deleteById(id);
authorizationManager.clearCache();
}
public void updateUserRoles(Long userId, Set<String> roleNames) {
// 更新用戶角色邏輯
// 清除用戶緩存
User user = userRepository.findById(userId).orElse(null);
if (user != null) {
userDetailsService.clearUserCache(user.getUsername());
}
}
}
與外部系統(tǒng)的集成
在企業(yè)環(huán)境中，權(quán)限系統(tǒng)可能需要與外部系統(tǒng)集成，如 LDAP、OAuth2 或 SAML。
OAuth2 集成示例
如果使用 OAuth2 進(jìn)行認(rèn)證，配置會(huì)有所不同：
@Configuration
@EnableWebSecurity
public class OAuth2SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authz -> authz
.requestMatchers("/public/**").permitAll()
.anyRequest().authenticated()
)
.oauth2ResourceServer(oauth2 -> oauth2
.jwt(jwt -> jwt
.jwtAuthenticationConverter(jwtAuthenticationConverter())
)
);
return http.build();
}
private JwtAuthenticationConverter jwtAuthenticationConverter() {
JwtGrantedAuthoritiesConverter authoritiesConverter =
new JwtGrantedAuthoritiesConverter();
authoritiesConverter.setAuthorityPrefix("ROLE_");
authoritiesConverter.setAuthoritiesClaimName("roles");
JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
converter.setJwtGrantedAuthoritiesConverter(authoritiesConverter);
return converter;
}
}
總結(jié)
Spring Security 的接口級(jí)別 URL 權(quán)限控制是一個(gè)強(qiáng)大而靈活的功能，能夠滿足從簡單到復(fù)雜的各種安全需求。通過本文的詳細(xì)講解和代碼示例，我們涵蓋了以下關(guān)鍵內(nèi)容：
- 基礎(chǔ)配置：使用
HttpSecurity進(jìn)行簡單的 URL 權(quán)限控制 - 動(dòng)態(tài)權(quán)限：從數(shù)據(jù)庫加載權(quán)限規(guī)則，實(shí)現(xiàn)靈活的權(quán)限管理
- 方法級(jí)安全：使用
@PreAuthorize注解進(jìn)行細(xì)粒度的權(quán)限控制 - 自定義投票器：實(shí)現(xiàn)復(fù)雜的權(quán)限決策邏輯
- JWT 集成：支持無狀態(tài)的 RESTful API 安全
- 性能優(yōu)化：通過緩存提高權(quán)限驗(yàn)證的性能
- 最佳實(shí)踐：安全開發(fā)的重要原則和建議
在實(shí)際項(xiàng)目中，選擇合適的權(quán)限控制策略需要根據(jù)具體的業(yè)務(wù)需求、系統(tǒng)架構(gòu)和安全要求來決定。無論選擇哪種方式，都要始終牢記安全第一的原則，定期進(jìn)行安全審計(jì)和測試。
通過合理運(yùn)用 Spring Security 提供的各種功能，我們可以構(gòu)建出既安全又靈活的權(quán)限控制系統(tǒng)，為用戶提供可靠的保護(hù)。
以上就是SpringBoot使用Spring Security實(shí)現(xiàn)基于URL的接口權(quán)限控制的詳細(xì)內(nèi)容，更多關(guān)于Spring Security基于URL的接口權(quán)限控制的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
基于mybatis?plus實(shí)現(xiàn)數(shù)據(jù)源動(dòng)態(tài)添加、刪除、切換，自定義數(shù)據(jù)源的示例代碼
這篇文章主要介紹了基于mybatis?plus實(shí)現(xiàn)數(shù)據(jù)源動(dòng)態(tài)添加、刪除、切換，自定義數(shù)據(jù)源,本文通過實(shí)例代碼給大家介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2022-03-03
SpringBoot組件掃描未覆蓋導(dǎo)致Bean注冊(cè)失敗問題的解決方案
在 Spring Boot 項(xiàng)目啟動(dòng)過程中,開發(fā)者常會(huì)遇到Spring 容器無法找到?XXXUtil?類型的 Bean,導(dǎo)致依賴注入失敗,所以本文給大家詳細(xì)介紹了SpringBoot組件掃描未覆蓋導(dǎo)致Bean注冊(cè)失敗問題的解決方案,需要的朋友可以參考下2025-05-05
windows定時(shí)器配置執(zhí)行java jar文件的方法詳解
這篇文章主要給大家介紹了關(guān)于windows定時(shí)器配置執(zhí)行java jar文件的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-11-11
Java線程創(chuàng)建(賣票)，線程同步(賣包子)的實(shí)現(xiàn)示例
這篇文章主要介紹了Java線程創(chuàng)建(賣票)，線程同步(賣包子)的實(shí)現(xiàn)示例，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2021-05-05
SpringBoot使用redis生成訂單號(hào)的實(shí)現(xiàn)示例
在電商系統(tǒng)中,生成唯一訂單號(hào)是常見需求,本文介紹如何利用SpringBoot和Redis實(shí)現(xiàn)訂單號(hào)的生成,文中通過示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2024-09-09
Java將文件分割為多個(gè)子文件再將子文件合并成原始文件的示例
本篇文章主要介紹了Java將文件分割為多個(gè)子文件再將子文件合并成原始文件的示例，具有一定的參考價(jià)值，有興趣的可以了解一下。2017-02-02
本文介紹了如何在Spring Boot 3項(xiàng)目中使用Swagger3進(jìn)行后端接口的前端展示,首先,通過添加依賴并配置application.yml文件來快速啟動(dòng)Swagger,然后,詳細(xì)介紹了Swagger3的新注解與Swagger2的區(qū)別,并提供了一些常用注解的使用示例,感興趣的朋友跟隨小編一起看看吧2024-11-11
下面小編就為大家?guī)硪黄仙Ｕ刯ava中的數(shù)組初始化。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2017-04-04
Javaweb實(shí)現(xiàn)在線人數(shù)統(tǒng)計(jì)代碼實(shí)例
這篇文章主要介紹了Javaweb實(shí)現(xiàn)在線人數(shù)統(tǒng)計(jì)代碼實(shí)例,文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2019-11-11
這篇文章主要介紹了基于SPRINGBOOT配置文件占位符過程解析,文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2019-12-12