快捷導(dǎo)航

SpringSecurity權(quán)限控制實(shí)現(xiàn)原理解析

更新時(shí)間：2020年03月03日 14:29:58 作者：天宇軒-王

這篇文章主要介紹了SpringSecurity權(quán)限控制實(shí)現(xiàn)原理解析,文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下

菜單控制：

可以用來(lái)判斷這個(gè)用戶是不是有這些角色，沒(méi)有的話就不展示

數(shù)據(jù)控制：

由于數(shù)據(jù)都是從后端查的，在后端控制權(quán)限就可以了

<!--
    開(kāi)啟權(quán)限控制注解支持
    jsr250-annotations="enabled"表示支持jsr250-api的注解，需要jsr250-api的jar包
    pre-post-annotations="enabled"表示支持spring表達(dá)式注解
    secured-annotations="enabled"這才是SpringSecurity提供的注解
   -->
  <security:global-method-security jsr250-annotations="enabled"
                   pre-post-annotations="enabled"
                   secured-annotations="enabled"/>

注：這個(gè)要放在mvc的容器中，因?yàn)樽尤萜骺梢栽L問(wèn)到主容器，主容器訪問(wèn)不到子容器

/表示當(dāng)前類中所有方法都需要ROLE_ADMIN或者ROLE_PRODUCT才能訪問(wèn)
@Controller
@RequestMapping("/product")
@RolesAllowed({"ROLE_ADMIN","ROLE_PRODUCT"})//JSR-250注解
public class ProductController {
@RequestMapping("/findAll")
public String findAll(){
return "product-list";
}
}
//表示當(dāng)前類中findAll方法需要ROLE_ADMIN或者ROLE_PRODUCT才能訪問(wèn)
@Controller
@RequestMapping("/product")
public class ProductController {
@RequestMapping("/findAll")
@PreAuthorize("hasAnyRole('ROLE_ADMIN','ROLE_PRODUCT')")//spring表達(dá)式注解
public String findAll(){
return "product-list";
}
}
//表示當(dāng)前類中所有方法都需要ROLE_ADMIN或者ROLE_PRODUCT才能訪問(wèn)
@Controller
@RequestMapping("/product")
@Secured({"ROLE_ADMIN","ROLE_PRODUCT"})//SpringSecurity注解
public class ProductController {
@RequestMapping("/findAll")
public String findAll(){
return "product-list";
}
}

但是會(huì)報(bào)403無(wú)法訪問(wèn)

方式一：在 spring-security.xml配置文件中處理

<!--設(shè)置可以用spring的el表達(dá)式配置Spring Security并自動(dòng)生成對(duì)應(yīng)配置組件（過(guò)濾器）-->
<security:http auto-config="true" use-expressions="true">
<!--省略其它配置-->
<!--403異常處理-->
<security:access-denied-handler error-page="/403.jsp"/>
</security:http>

方式二：在 web.xml中處理

<error-page>
  <error-code>403</error-code>
  <location>/403.jsp</location>
</error-page>

方式三：編寫(xiě)異常處理器

/**
 * @author WGR
 * @create 2020/3/2 -- 17:33
 */
@ControllerAdvice
public class ControllerExceptionAdvice {

  //只有出現(xiàn)AccessDeniedException異常才調(diào)轉(zhuǎn)403.jsp頁(yè)面
  @ExceptionHandler(AccessDeniedException.class)
  public String exceptionAdvice(){
    System.out.println("1234");
    return "forward:/403.jsp";
  }
}

注：如果是spring項(xiàng)目，也要把這個(gè)掃描進(jìn)去。