sec:authorize怎么使用

`sec:authorize` 是 Spring Security 提供的一个 Thymeleaf 扩展标签，用于根据当前用户的角色或权限决定页面上某些元素是否显示。

使用 `sec:authorize` 标签需要在页面中引入 `xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5"` 命名空间，然后可以使用如下方式进行授权：

<div sec:authorize="hasRole('ROLE_ADMIN')">
    <!-- 只有 ROLE_ADMIN 角色的用户才能看到这个元素 -->
    <p>Welcome, Admin!</p>
</div>

<div sec:authorize="hasAnyRole('ROLE_ADMIN', 'ROLE_USER')">
    <!-- 只要有 ROLE_ADMIN 或 ROLE_USER 角色的用户都能看到这个元素 -->
    <p>Welcome, User!</p>
</div>

<div sec:authorize="hasAuthority('WRITE')">
    <!-- 只有具有 WRITE 权限的用户才能看到这个元素 -->
    <p>You have permission to write.</p>
</div>

这些示例演示了如何根据用户的角色和权限来授权访问页面上的元素。你可以通过 `hasRole()`、`hasAnyRole()` 和 `hasAuthority()` 方法来检查用户是否具有相应的角色和权限。你也可以在方法中指定多个角色和权限，并使用逗号进行分隔。

需要注意的是，授权是在服务器端进行的，因此即使在客户端手动更改 HTML，也无法绕过安全措施。