【SpringSecurity】HttpSecurity相关配置

博主： Fivk
发布时间：2023 年 03 月 09 日
680 次浏览
9159字数
分类：知识总结

1. 角色的作用

在Spring Security中，角色可以用来控制用户对系统资源的访问权限。

2. 默认角色

Spring Security中内置了一些默认角色，如`ROLE_USER`和`ROLE_ADMIN`。

3. 自定义角色

可以使用`GrantedAuthority`接口和`SimpleGrantedAuthority`类来自定义角色。

4. 角色控制访问

在配置Spring Security时，可以使用`hasRole()`方法和`hasAnyRole()`方法来检查用户是否具有特定的角色。

5. 允许匿名访问

在配置中也可以使用`anonymous()`方法来配置允许匿名访问的URL路径。

6. 链接重定向

当用户未经身份验证访问受保护的URL时，将重定向到该页面。

</div>

### 1.默认角色的介绍和使用

默认角色在Spring Security中有着很重要的作用，可以帮助我们快速地定义访问控制规则。默认角色包括两个，分别是`ROLE_USER`和`ROLE_ANONYMOUS`。

其中，`ROLE_USER`表示已认证的用户角色，当用户登录系统后，会自动获得该角色。而`ROLE_ANONYMOUS`则表示未认证的用户角色，当用户未登录系统时，会自动获得该角色。

使用默认角色非常简单，只需要在访问控制规则中将其作为角色名即可，例如：

```java
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/public/**").permitAll()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .antMatchers("/user/**").hasRole("USER")
        .anyRequest().authenticated()
        .and().formLogin()
        .and().logout();
}
```

在上面的例子中，我们使用`ROLE_USER`和`ROLE_ANONYMOUS`作为默认角色来定义了系统的访问控制规则。对于公共资源`/public/**`，任何人都可以访问，而对于需要认证的资源，系统会根据用户的角色进行限制。当用户登录后，会自动获得`ROLE_USER`角色，如果需要管理员权限，则需要具有`ADMIN`角色。如果用户未登录，则会自动获得`ROLE_ANONYMOUS`角色，这样就可以限制未认证用户的访问权限，保护系统的安全性。

需要注意的是，如果你想修改默认角色的名称或者禁用默认角色，可以通过配置`SecurityConfig`类的`configureGlobal(AuthenticationManagerBuilder auth)`方法来实现。具体可以参考Spring Security官方文档的介绍。

### 2. 自定义用户信息和角色信息的数据源

Spring Security默认提供了一个内存数据源用于存储用户信息和角色信息，但在实际应用中，我们往往需要从数据库或其他数据源中获取用户信息和角色信息。为此，我们需要实现`UserDetailsService`接口，并重写`loadUserByUsername()`方法，从数据源中获取用户信息和角色信息，并返回一个`UserDetails`对象。

例如，下面的代码示例演示了如何从数据库中获取用户信息和角色信息：

```java
@Service
public class MyUserDetailsService implements UserDetailsService {

@Autowired
    private UserRepository userRepository;

@Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        List<GrantedAuthority> authorities = new ArrayList<>();
        for (String role : user.getRoles()) {
            authorities.add(new SimpleGrantedAuthority(role));
        }
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(), user.getPassword(), authorities);
    }
}
```

在上面的示例中，`UserRepository`是一个自定义的数据访问层，`findByUsername()`方法用于根据用户名从数据库中查询用户信息，`User`是一个自定义的实体类，表示用户信息和角色信息，其中`getRoles()`方法返回一个字符串列表，表示用户所具有的角色。在`loadUserByUsername()`方法中，我们通过调用`UserRepository`中的方法从数据库中获取用户信息和角色信息，然后构造一个`UserDetails`对象并返回。

### 3. 自定义角色授权规则

在Spring Security中，我们可以使用`hasRole()`或`hasAuthority()`方法来控制用户访问某些资源的权限。其中，`hasRole()`方法用于判断用户是否具有某个角色，`hasAuthority()`方法用于判断用户是否具有某个授权。

例如，下面的代码示例演示了如何使用`hasRole()`和`hasAuthority()`方法来控制用户访问资源的权限：

```java
@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyAuthority("USER", "ADMIN")
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}
```

在上面的示例中，我们使用`antMatchers()`方法指定某些资源的访问路径，然后使用`hasRole()`和`hasAuthority()`方法来控制用户访问这些资源的权限。例如，对于"/admin/ **"路径的资源，只有具有"ADMIN"角色的用户才能访问，对于"/user/** "路径的资源，只要用户具有"USER"或"ADMIN"角色中的任意一个，就可以访问。

需要注意的是，在使用`hasRole()`方法时，角色名需要以`ROLE_`为前缀。例如，如果要检查用户是否具有`ADMIN`角色，需要使用`hasRole("ROLE_ADMIN")`方法而不是`hasRole("ADMIN")`方法。

这是因为Spring Security内置了一个前缀为`ROLE_`的角色前缀，如果没有加上这个前缀，系统会将其作为普通的字符串而不是角色名来处理，这样就会导致检查角色失败。如果你不想使用默认的角色前缀，也可以通过配置来修改它，具体可以参考Spring Security官方文档的介绍。

### 4. 自定义角色继承关系

在实际应用中，角色之间往往存在继承关系，例如"ADMIN"角色包含了"USER"角色的所有权限。为了简化授权规则的管理，Spring Security提供了角色继承功能，我们可以使用`RoleHierarchy`接口来实现角色继承。

例如，下面的代码示例演示了如何使用`RoleHierarchy`接口实现角色继承：

```java
@Bean
public RoleHierarchy roleHierarchy() {
    RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
    roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
    return roleHierarchy;
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/user/**").hasRole("USER")
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .permitAll();
}
```

在上面的示例中，我们首先定义了一个`RoleHierarchy`的Bean，并通过调用`setHierarchy()`方法设置角色继承关系，其中"ROLE_ADMIN > ROLE_USER"表示"ADMIN"角色包含了"USER"角色的所有权限。然后，在授权规则中，我们使用`hasRole()`方法来判断用户是否具有"USER"角色和"ADMIN"角色，这里"ADMIN"角色包含了"USER"角色的所有权限。

### 5. 自定义角色表达式

在Spring Security中，我们可以使用表达式来定义更加复杂的授权规则，例如使用`hasRole('ADMIN') and hasIpAddress('192.168.1.0/24')`来表示只有具有"ADMIN"角色和IP地址为"192.168.1.0/24"的用户才能访问某个资源。为了实现自定义的角色表达式，我们需要实现`SecurityExpressionOperations`接口，并在`WebSecurityConfigurerAdapter`的子类中使用`expressionHandler()`方法注册自定义的角色表达式。

例如，下面的代码示例演示了如何实现自定义的角色表达式：

```java
@Component
public class MySecurityExpressionRoot extends SecurityExpressionRoot {

public MySecurityExpressionRoot(Authentication authentication) {
        super(authentication);
    }

public boolean hasPermission(Object target, Object permission) {
        // 自定义角色表达式的实现
    }
}

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Autowired
    private MySecurityExpressionRoot mySecurityExpressionRoot;

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .expressionHandler(new DefaultWebSecurityExpressionHandler() {
                    @Override
                    protected SecurityExpressionOperations createSecurityExpressionRoot(
                            Authentication authentication, FilterInvocation fi) {
                        mySecurityExpressionRoot.setFilterInvocation(fi);
                        mySecurityExpressionRoot.setAuthentication(authentication);
                        return mySecurityExpressionRoot;
                    }
                })
                .antMatchers("/admin/**").access("hasPermission('ADMIN')")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}
```

在上面的示例中，我们首先定义了一个`MySecurityExpressionRoot`类，该类实现了`SecurityExpressionOperations`接口，并实现了`hasPermission()`方法，用于实现自定义的角色表达式。然后，在`WebSecurityConfigurerAdapter`的子类中，我们使用`expressionHandler()`方法来注册自定义的角色表达式处理器，其中我们创建了一个`DefaultWebSecurityExpressionHandler`的子类，并重写了`createSecurityExpressionRoot()`方法，用于将自定义的角色表达式实现类注入到表达式处理器中。在授权规则中，我们使用`access()`方法来使用自定义的角色表达式，例如"hasPermission('ADMIN')"表示只有具有"ADMIN"权限的用户才能访问某个资源。

### 6.允许匿名访问

`anonymous()`是Spring Security提供的一种特殊的角色，表示未认证的用户。这个角色可以用于限制匿名用户的访问权限，比如限制未登录用户只能访问系统的某些公共资源。

在使用`anonymous()`方法时，可以将其作为访问控制规则中的一个角色，例如：

```java
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
        .antMatchers("/public/**").anonymous()
        .antMatchers("/admin/**").hasRole("ADMIN")
        .anyRequest().authenticated()
        .and().formLogin()
        .and().logout();
}
```

在上面的例子中，我们使用`anonymous()`方法来配置公共资源`/public/**`可以被任何未认证的用户访问，而对于其他资源，系统会检查用户是否已经登录，如果没有登录则要求用户进行登录操作。这样就可以有效地保护系统的安全性，防止未经授权的用户访问敏感资源。

需要注意的是，`anonymous()`方法只能用于限制未认证的用户的访问权限，不能用于控制已认证的用户的访问权限。如果要限制已认证用户的访问权限，需要使用其他角色，例如上面介绍的`hasRole()`方法。

### 7.链接重定向

在Spring Security中，可以使用Java配置或XML配置来配置安全性。对于Java配置，可以在继承`WebSecurityConfigurerAdapter`的类中使用`configure(HttpSecurity http)`方法来配置安全性。

要设置默认的登录URL，可以在`configure(HttpSecurity http)`方法中使用`formLogin()`方法，并通过`loginPage()`方法设置默认的登录页面URL。以下是一个示例代码：

```java
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .antMatchers("/private/**").authenticated()
                .and()
                .formLogin()
                .loginPage("/login") // 设置默认的登录页面URL
                .permitAll()
                .and()
                .logout()
                .logoutSuccessUrl("/login?logout")
                .permitAll();
    }
}
```

在上面的示例中，我们使用`formLogin()`方法配置了表单登录，使用`loginPage()`方法设置默认的登录页面URL为`/login`。当用户未经身份验证访问受保护的URL时，将重定向到该页面。

最后修改：2023 年 03 月 14 日

如果觉得我的文章对你有用，请随意赞赏

【SpringSecurity】HttpSecurity相关配置

Fivk • 2023 年 03 月 09 日

1. 角色的作用

在Spring Security中，角色可以用来控制用户对系统资源的访问权限。

2. 默认角色

Spring Security中内置了一些默认角色，如`ROLE_USER`和`ROLE_ADMIN`。

3. 自定义角色

可以使用`GrantedAuthority`接口和`SimpleGrantedAuthority`类来自定义角色。

4. 角色控制访问

在配置Spring Security时，可以使用`hasRole()`方法和`hasAnyRole()`方法来检查用户是否具有特定的角色。

5. 允许匿名访问

在配置中也可以使用`anonymous()`方法来配置允许匿名访问的URL路径。

6. 链接重定向

当用户未经身份验证访问受保护的URL时，将重定向到该页面。

</div>

### 1.默认角色的介绍和使用

默认角色在Spring Security中有着很重要的作用，可以帮助我们快速地定义访问控制规则。默认角色包括两个，分别是`ROLE_USER`和`ROLE_ANONYMOUS`。

使用默认角色非常简单，只需要在访问控制规则中将其作为角色名即可，例如：

### 2. 自定义用户信息和角色信息的数据源

例如，下面的代码示例演示了如何从数据库中获取用户信息和角色信息：

```java
@Service
public class MyUserDetailsService implements UserDetailsService {

@Autowired
    private UserRepository userRepository;

### 3. 自定义角色授权规则

例如，下面的代码示例演示了如何使用`hasRole()`和`hasAuthority()`方法来控制用户访问资源的权限：

### 4. 自定义角色继承关系

例如，下面的代码示例演示了如何使用`RoleHierarchy`接口实现角色继承：

### 5. 自定义角色表达式

例如，下面的代码示例演示了如何实现自定义的角色表达式：

```java
@Component
public class MySecurityExpressionRoot extends SecurityExpressionRoot {

public MySecurityExpressionRoot(Authentication authentication) {
        super(authentication);
    }

public boolean hasPermission(Object target, Object permission) {
        // 自定义角色表达式的实现
    }
}

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Autowired
    private MySecurityExpressionRoot mySecurityExpressionRoot;

### 6.允许匿名访问

在使用`anonymous()`方法时，可以将其作为访问控制规则中的一个角色，例如：

### 7.链接重定向

要设置默认的登录URL，可以在`configure(HttpSecurity http)`方法中使用`formLogin()`方法，并通过`loginPage()`方法设置默认的登录页面URL。以下是一个示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

【SpringSecurity】HttpSecurity相关配置

【踩坑日志】SpringBoot项目启动提示This primary key of "id" is primitive !不建议如此请使用包装类 in Class:

【C】极域电子教室学生端解除控制

【开发技巧】@CrossOrigin注解解决跨域问题

这是好东西

【Fivk】文章归档

【知识总结】Python输入格式

【C】文件_基础介绍

【Java】IO流

【项目实战】瑞吉外卖项目优化（中）

此内容被密码保护

【SpringSecurity】HttpSecurity相关配置