springboot权限控制

Spring Boot提供了多种方式实现权限控制，以下是其中几种常用的方式：

1. 基于注解的权限控制

通过在Controller方法上添加注解，可以限制用户访问该方法的权限。常用的注解包括：

- @PreAuthorize：在方法执行前进行权限验证；
- @PostAuthorize：在方法执行后进行权限验证；
- @Secured：限制用户必须具有指定的角色才能访问该方法。

例如：

@PreAuthorize("hasRole('ROLE_ADMIN')")
@RequestMapping("/admin")
public String adminPage() {
    return "admin";
}

2. 基于Filter的权限控制

通过自定义Filter来实现权限控制，可以在请求到达Controller之前进行权限验证，从而提高系统安全性。可以通过继承AbstractAuthenticationProcessingFilter类或实现Filter接口来实现自定义Filter。

例如：

public class MyFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;

        // 获取用户信息
        String token = httpRequest.getHeader("Authorization");
        if (token == null || !token.startsWith("Bearer ")) {
            httpResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Unauthorized");
            return;
        }
        String username = getUsernameFromToken(token.substring(7));

        // 验证用户是否有权限访问该资源
        if (!hasPermission(username, httpRequest.getRequestURI())) {
            httpResponse.sendError(HttpServletResponse.SC_FORBIDDEN, "Forbidden");
            return;
        }

        chain.doFilter(request, response);
    }

    // 判断用户是否有权限访问该资源
    private boolean hasPermission(String username, String uri) {
        // 根据用户名和URI从数据库中获取用户权限信息
        // 判断用户是否有权限访问该资源
        return true;
    }
}

3. 基于Spring Security的权限控制

Spring Security是一个基于Spring的安全框架，提供了一些基本的安全功能，如用户认证、授权、会话管理等。通过配置Spring Security，可以实现基于角色的访问控制、基于URL的访问控制、CSRF攻击防护等。

例如：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .anyRequest().authenticated()
                .and()
                .formLogin().loginPage("/login").permitAll()
                .and()
                .logout().permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

以上是三种常用的Spring Boot权限控制方式，根据实际需求选择合适的方式来实现权限控制。