Spring Security Xml 配置自定义授权规则

在Spring Security中，通过配置访问控制列表（Access Control List，ACL）来实现授权规则。授权规则可以在Spring Security的XML配置文件中定义。

以下是一个示例配置文件，其中定义了两个授权规则：

<http auto-config="true">
  <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
  <intercept-url pattern="/**" access="ROLE_USER" />
  <form-login />
</http>

<authentication-manager>
  <authentication-provider>
    <user-service>
      <user name="user" password="password" authorities="ROLE_USER" />
      <user name="admin" password="password" authorities="ROLE_ADMIN" />
    </user-service>
  </authentication-provider>
</authentication-manager>

上述配置文件中，`<http>` 标签用于配置访问控制规则，其中 `<intercept-url>` 标签用于定义 URL 匹配模式和对应的授权规则。此处定义了两个规则：对于 `/admin/**` 的请求，要求用户拥有 `ROLE_ADMIN` 角色；对于其他所有请求，要求用户拥有 `ROLE_USER` 角色。

`<authentication-manager>` 标签用于配置身份认证的方式，此处使用了内存中的用户信息进行认证。

如果要自定义授权规则，可以实现 `AccessDecisionVoter` 接口，并将自定义的投票器配置到 `<http>` 标签中：

<http auto-config="true">
  <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
  <intercept-url pattern="/**" access="ROLE_USER" />
  <form-login />
  <access-decision-manager>
    <decision-voters>
      <bean class="com.example.CustomVoter" />
    </decision-voters>
  </access-decision-manager>
</http>

以上配置文件中，`<access-decision-manager>` 标签用于配置访问决策管理器，其中 `<decision-voters>` 标签用于定义投票器列表。`<bean>` 标签用于定义自定义投票器的实现类。在自定义投票器中，可以编写自己的授权规则逻辑。