Spring Security如何实现多级角色授权？

Spring Security可以通过自定义AccessDecisionVoter来实现多级角色授权。AccessDecisionVoter是Spring Security中评估用户请求是否允许访问的一种策略接口。它可以用于实现基于角色的访问控制。

具体实现方式如下：

1. 创建自定义的AccessDecisionVoter类，实现supports、vote方法。

2. 在WebSecurityConfigurerAdapter的configure(HttpSecurity http)方法中，通过.accessDecisionManager(accessDecisionManager())指定AccessDecisionManager，AccessDecisionManager是用来管理AccessDecisionVoter的。

3. 在AccessDecisionManager中，将自定义的AccessDecisionVoter添加到集合中即可。

示例代码：

public class CustomAccessDecisionVoter implements AccessDecisionVoter<Object> {

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return attribute.getAttribute() != null;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }

    @Override
    public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
        int result = ACCESS_ABSTAIN;
        for (ConfigAttribute attribute : attributes) {
            if (this.supports(attribute)) {
                result = ACCESS_DENIED;
                List<String> roles = Arrays.asList(attribute.getAttribute().split(","));
                for (GrantedAuthority authority : authentication.getAuthorities()) {
                    if (roles.contains(authority.getAuthority())) {
                        return ACCESS_GRANTED;
                    }
                }
            }
        }
        return result;
    }

}

WebSecurityConfigurerAdapter中的配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
        .anyRequest().permitAll()
        .and().formLogin()
        .and().csrf().disable()
        .exceptionHandling().accessDeniedHandler(accessDeniedHandler())
        .and().sessionManagement().maximumSessions(1).expiredUrl("/login?expired");
    http.accessDecisionManager(accessDecisionManager());
}

@Bean
public AccessDecisionManager accessDecisionManager() {
    List<AccessDecisionVoter<? extends Object>> decisionVoters = Arrays.asList(
        new RoleVoter(),
        new AuthenticatedVoter(),
        new CustomAccessDecisionVoter()); // 自定义的AccessDecisionVoter
    return new AffirmativeBased(decisionVoters);
}

在上述示例中，我们自定义了一个AccessDecisionVoter实现类CustomAccessDecisionVoter，用于实现多级角色授权。在WebSecurityConfigurerAdapter中，我们通过.accessDecisionManager(accessDecisionManager())指定AccessDecisionManager，并将自定义的AccessDecisionVoter添加到集合中。这样，在对请求进行授权时，就会按照自定义的AccessDecisionVoter对用户的角色进行验证。