springboot权限控制_Spring Security 中的四种权限控制方式

好的，关于你的问题，Spring Security 中的四种权限控制方式分别是：

1. 基于角色的访问控制（Role-Based Access Control，RBAC）：通过为用户分配角色来控制用户是否有权限访问某些资源，不同的角色可以拥有不同的权限。

2. 基于授权注解的访问控制：通过在方法或类上使用注解来控制用户是否有权限访问某些资源，例如 @PreAuthorize、@PostAuthorize、@Secured 等。

3. 基于 URL 的访问控制：通过配置 URL 对应的角色或权限来控制用户是否有权限访问某些资源。

4. 基于 Web 安全表达式的访问控制：通过配置 Web 安全表达式来控制用户是否有权限访问某些资源，Web 安全表达式可以包含逻辑运算符、正则表达式、IP 地址等。

以上就是 Spring Security 中的四种权限控制方式，可以根据具体的需求选择合适的方式进行权限控制。

相关问题

SpringBoot2.7.2整合SpringSecurity+Redis权限控制

好的，我可以为您提供一些指导。

首先，您需要在您的Spring Boot项目中添加Spring Security和Redis的依赖。

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>

然后，在您的Spring Boot项目中创建一个配置类，该类将配置Spring Security和Redis的集成。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private RedisConnectionFactory redisConnectionFactory;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasRole("USER")
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .and()
                .logout()
                .logoutSuccessUrl("/");
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        RedisUserDetailsService userDetailsService = new RedisUserDetailsService(redisConnectionFactory);
        auth.userDetailsService(userDetailsService);
    }

    @Bean
    public RedisTokenRepositoryImpl redisTokenRepository() {
        return new RedisTokenRepositoryImpl(redisConnectionFactory);
    }

    @Bean
    public TokenBasedRememberMeServices rememberMeServices() {
        TokenBasedRememberMeServices rememberMeServices = new TokenBasedRememberMeServices("remember-me", userDetailsService());
        rememberMeServices.setTokenRepository(redisTokenRepository());
        return rememberMeServices;
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

上述配置类中的configure(HttpSecurity http)方法指定了不同角色的用户可以访问哪些URL。configure(AuthenticationManagerBuilder auth)方法指定了如何从Redis中获取用户信息。redisTokenRepository()和rememberMeServices()方法指定了如何将Remember-Me令牌存储到Redis中。

最后，在您的Spring Boot项目中创建一个RedisUserDetailsService类，该类将从Redis中获取用户信息。

public class RedisUserDetailsService implements UserDetailsService {

    private RedisConnectionFactory redisConnectionFactory;

    public RedisUserDetailsService(RedisConnectionFactory redisConnectionFactory) {
        this.redisConnectionFactory = redisConnectionFactory;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        RedisTemplate<String, Object> redisTemplate = new RedisTemplate<>();
        redisTemplate.setConnectionFactory(redisConnectionFactory);
        redisTemplate.setKeySerializer(new StringRedisSerializer());
        redisTemplate.setHashKeySerializer(new StringRedisSerializer());
        redisTemplate.setHashValueSerializer(new GenericToStringSerializer<>(Object.class));
        redisTemplate.afterPropertiesSet();

        Map<Object, Object> userMap = redisTemplate.opsForHash().entries("user:" + username);
        if (userMap.isEmpty()) {
            throw new UsernameNotFoundException("User '" + username + "' not found");
        }

        String password = (String) userMap.get("password");
        List<String> authorities = (List<String>) userMap.get("authorities");

        List<GrantedAuthority> grantedAuthorities = new ArrayList<>();
        for (String authority : authorities) {
            grantedAuthorities.add(new SimpleGrantedAuthority(authority));
        }

        return new User(username, password, grantedAuthorities);
    }
}

上述类中的loadUserByUsername(String username)方法从Redis中获取用户信息。

希望这些信息能对您有所帮助！

SpringBoot整合SpringSecurity权限控制 详情用法

Spring Boot和Spring Security是一对好朋友，Spring Boot提供了强大的自动配置和快速开发的能力，而Spring Security则提供了完整的安全解决方案，可以实现用户认证、授权、安全过滤等功能。本文将介绍如何在Spring Boot中整合Spring Security实现权限控制。

1. 添加Spring Security依赖

在pom.xml文件中添加以下依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 配置Spring Security

在Spring Boot中，可以通过application.properties或application.yml文件配置Spring Security。以下是一个简单的配置：

spring.security.user.name=admin
spring.security.user.password=123456
spring.security.user.roles=ADMIN

这个配置定义了一个用户名为admin，密码为123456，角色为ADMIN的用户。在实际应用中，应该将用户名和密码存储在数据库或其他安全存储中。

3. 创建SecurityConfig类

创建一个继承自WebSecurityConfigurerAdapter的SecurityConfig类，并重写configure方法：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("admin").password("{noop}123456").roles("ADMIN");
    }
}

configure方法定义了应用程序的安全策略，这里配置了所有请求都需要认证（即登录）才能访问，除了首页和登录页，这两个页面可以匿名访问。formLogin方法配置了自定义的登录页面，logout方法配置了退出登录的操作。

configureGlobal方法定义了一个内存中的用户，用户名为admin，密码为123456，角色为ADMIN。在实际应用中，应该将用户信息存储在数据库或其他安全存储中。

4. 创建登录页面

在templates目录下创建一个名为login.html的登录页面，例如：

<!DOCTYPE html>
<html>
<head>
    <title>Login Page</title>
</head>
<body>
    <h1>Login Page</h1>

    <div th:if="${param.error}">
        Invalid username and password.
    </div>
    <div th:if="${param.logout}">
        You have been logged out.
    </div>

    <form th:action="@{/login}" method="post">
        <div>
            <label>Username:</label>
            <input type="text" name="username" />
        </div>
        <div>
            <label>Password:</label>
            <input type="password" name="password" />
        </div>
        <div>
            <button type="submit">Login</button>
        </div>
    </form>
</body>
</html>

5. 运行应用程序

在浏览器中访问http://localhost:8080/login，输入用户名admin和密码123456，即可登录成功。如果输入错误的用户名或密码，则会提示“Invalid username and password.”。如果成功登录后再访问http://localhost:8080/home，则可以看到“Welcome home!”的欢迎消息。

6. 实现权限控制

上面的例子中只实现了登录认证，没有实现权限控制。下面介绍如何实现权限控制。

首先需要在configureGlobal方法中添加更多的用户和角色：

@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
    auth
        .inMemoryAuthentication()
            .withUser("admin").password("{noop}123456").roles("ADMIN")
            .and()
            .withUser("user").password("{noop}password").roles("USER");
}

这里定义了一个管理员用户和一个普通用户，分别拥有ADMIN和USER两个角色。

然后在configure方法中添加更多的安全策略：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/", "/home").permitAll()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

这里添加了一个安全策略，即/admin/**路径需要拥有ADMIN角色才能访问。

现在管理员用户可以访问/admin/**路径，而普通用户则不能访问。如果普通用户尝试访问/admin/**路径，则会提示“Access is denied”。