springsecurity自定义授权具体实现

在 Spring Security 中，可以通过自定义实现 `AccessDecisionManager` 接口来实现授权的具体逻辑。

首先，创建一个实现了 `AccessDecisionManager` 接口的自定义类。该类需要实现接口中的 `decide` 方法，该方法负责根据用户的权限和访问请求的权限要求，决定用户是否有访问权限。

import org.springframework.security.access.AccessDecisionManager;
import org.springframework.security.access.AccessDeniedException;
import org.springframework.security.access.ConfigAttribute;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;

import java.util.Collection;

public class CustomAccessDecisionManager implements AccessDecisionManager {
    
    @Override
    public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes) throws AccessDeniedException {
        // 获取用户的权限
        Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
        
        // 遍历访问请求所需的权限
        for (ConfigAttribute configAttribute : configAttributes) {
            // 判断用户是否具有所需的权限
            for (GrantedAuthority authority : authorities) {
                if (configAttribute.getAttribute().equals(authority.getAuthority())) {
                    return; // 用户具有所需的权限，放行
                }
            }
        }
        
        throw new AccessDeniedException("Access Denied"); // 用户没有访问权限，抛出异常
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

接下来，需要在 Spring Security 的配置类中配置使用自定义的 `AccessDecisionManager`。例如，在 `WebSecurityConfigurerAdapter` 的子类中，可以重写 `configure` 方法来配置自定义的 `AccessDecisionManager`。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // ...其他配置...
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
                .accessDecisionManager(accessDecisionManager()) // 配置自定义的AccessDecisionManager
                .and()
            // ...其他配置...
    }

    @Bean
    public AccessDecisionManager accessDecisionManager() {
        return new CustomAccessDecisionManager();
    }
}

在上述示例中，使用了`.accessDecisionManager(accessDecisionManager())`方法来配置自定义的 `AccessDecisionManager`。

通过以上步骤，就可以实现自定义授权的具体实现。当用户访问需要授权的资源时，`CustomAccessDecisionManager` 中的 `decide` 方法会被调用，根据用户的权限和资源的权限要求进行判断，并决定是否有访问权限。