springboot 权限管理

Spring Boot 提供了多种权限管理方式，如使用 Spring Security 或自定义实现。下面简单介绍两种实现方式：

1. 使用 Spring Security

Spring Security 是 Spring 生态中用于安全认证和授权的框架，可以非常方便地实现基于角色或权限的访问控制。在 Spring Boot 中集成 Spring Security 非常简单，只需要添加依赖和配置文件即可。

首先，在 `pom.xml` 中添加 Spring Security 的依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

然后，在 `application.properties` 文件中配置用户名和密码：

spring.security.user.name=admin
spring.security.user.password=123456

最后，在 Spring Boot 应用程序的启动类上添加 `@EnableWebSecurity` 注解，启用 Spring Security：

@SpringBootApplication
@EnableWebSecurity
public class Application {
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

现在，你可以使用 `@PreAuthorize` 或 `@Secured` 注解来限制方法的访问：

@RestController
public class UserController {
    @GetMapping("/users")
    @PreAuthorize("hasRole('ADMIN')")
    public List<User> getUsers() {
        // ...
    }

    @PostMapping("/users")
    @PreAuthorize("hasAuthority('CREATE_USER')")
    public void createUser(@RequestBody User user) {
        // ...
    }
}

在上面的例子中，`@PreAuthorize` 注解会检查用户是否具有指定的角色或权限。如果用户没有权限，访问将被拒绝。

2. 自定义实现

如果你不想使用 Spring Security，或者需要更细粒度的控制，可以自定义权限管理实现。下面是一个简单的例子：

首先，定义一个 `Permission` 类表示权限：

public enum Permission {
    READ_USER,
    CREATE_USER,
    UPDATE_USER,
    DELETE_USER
}

然后，定义一个 `User` 类表示用户信息：

public class User {
    private String username;
    private String password;
    private List<Permission> permissions;

    // getter and setter
}

接着，在 `UserController` 中添加一个 `checkPermission` 方法来检查用户是否具有指定的权限：

@RestController
public class UserController {
    @Autowired
    private UserService userService;

    @GetMapping("/users")
    public List<User> getUsers() {
        checkPermission(Permission.READ_USER);
        return userService.getUsers();
    }

    @PostMapping("/users")
    public void createUser(@RequestBody User user) {
        checkPermission(Permission.CREATE_USER);
        userService.createUser(user);
    }

    private void checkPermission(Permission permission) {
        User user = getCurrentUser();
        if (user == null || !user.getPermissions().contains(permission)) {
            throw new RuntimeException("Access denied");
        }
    }

    private User getCurrentUser() {
        // 获取当前用户信息
        // ...
    }
}

在上面的例子中，`checkPermission` 方法会检查当前用户是否具有指定的权限。如果用户没有权限，访问将被拒绝。

最后，在 `UserService` 中添加一个 `getCurrentUser` 方法来获取当前用户信息：

@Service
public class UserService {
    public User getCurrentUser() {
        // 获取当前用户信息
        // ...
    }
}

在实际应用中，你可能需要更复杂的权限管理逻辑，如基于角色的访问控制、动态授权等。这些都可以通过自定义实现来实现。