springboot 权限管理

Spring Boot可以使用Spring Security来实现权限管理。Spring Security是一个强大且灵活的框架，可以提供基于角色或权限的访问控制，包括基于表单的身份验证、基于HTTP Basic的身份验证、基于OAuth2的身份验证等。

以下是Spring Boot中实现权限管理的一般步骤：

1. 添加Spring Security依赖

在Maven或Gradle中添加Spring Security依赖：

Maven：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

Gradle：

implementation 'org.springframework.boot:spring-boot-starter-security'

2. 配置Spring Security

在Spring Boot的配置文件中，可以使用以下属性来配置Spring Security：

spring.security.user.name=username
spring.security.user.password=password
spring.security.user.roles=ROLE_USER

其中，username和password是用户的用户名和密码，ROLE_USER是用户的角色。

也可以通过Java Config的方式配置Spring Security，例如：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasRole("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .httpBasic();
    }
 
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("user").password("password").roles("USER")
            .and()
            .withUser("admin").password("password").roles("USER", "ADMIN");
    }
}

3. 定义用户角色和权限

可以通过在数据库中定义用户角色和权限来实现更灵活的权限管理。可以使用Spring Data JPA或其他ORM框架来管理数据库。

例如，定义一个角色表和一个权限表：

CREATE TABLE `role` (
  `id` bigint(20) unsigned NOT NULL AUTO_INCREMENT,
  `name` varchar(50) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

CREATE TABLE `permission` (
  `id` bigint(20) unsigned NOT NULL AUTO_INCREMENT,
  `name` varchar(50) NOT NULL,
  `url` varchar(200) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

4. 实现自定义UserDetailsService

可以通过实现UserDetailsService接口来自定义用户认证逻辑。可以在该接口的实现类中查询数据库，根据用户名获取用户的角色和权限信息，并返回一个UserDetails对象。

例如：

@Service
public class CustomUserDetailsService implements UserDetailsService {
 
    @Autowired
    private UserRepository userRepository;
 
    @Autowired
    private RoleRepository roleRepository;
 
    @Autowired
    private PermissionRepository permissionRepository;
 
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
 
        List<GrantedAuthority> authorities = new ArrayList<>();
 
        List<Role> roles = roleRepository.findByUserId(user.getId());
        for (Role role : roles) {
            authorities.add(new SimpleGrantedAuthority(role.getName()));
 
            List<Permission> permissions = permissionRepository.findByRoleId(role.getId());
            for (Permission permission : permissions) {
                authorities.add(new SimpleGrantedAuthority(permission.getName()));
            }
        }
 
        return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), authorities);
    }
}

5. 使用注解控制访问权限

可以使用@PreAuthorize注解、@PostAuthorize注解和@Secured注解来控制访问权限。

例如：

@RestController
@RequestMapping("/user")
public class UserController {
 
    @Autowired
    private UserService userService;
 
    @GetMapping("/{id}")
    @PreAuthorize("hasRole('USER') and #id == authentication.principal.id")
    public User getUser(@PathVariable Long id) {
        return userService.getUser(id);
    }
 
    @PostMapping("/")
    @PreAuthorize("hasRole('ADMIN')")
    public User createUser(@RequestBody User user) {
        return userService.createUser(user);
    }
 
    @PutMapping("/")
    @PreAuthorize("hasRole('USER') and #user.id == authentication.principal.id")
    public User updateUser(@RequestBody User user) {
        return userService.updateUser(user);
    }
 
    @DeleteMapping("/{id}")
    @PreAuthorize("hasRole('ADMIN')")
    public void deleteUser(@PathVariable Long id) {
        userService.deleteUser(id);
    }
}

在上面的例子中，@PreAuthorize注解用于控制访问权限，hasRole()方法用于判断用户角色，#id和#user.id表示方法参数中的id属性和user对象的id属性，authentication.principal.id表示当前认证的用户的id属性。