@toc

1、概述

  这里我们将讨论授权。授权是系统决定已识别的客户端是否有权限访问所请求得资源得过程。

  在Spring Security中，一旦应用程序结束身份验证流程，它就会将请求委托给一个授权过滤器。该过滤器会根据所配置得授权规则来允许或拒绝请求。

  这里将按照以下步骤讨论授权得所有必要细节。

• 了解权限是什么，并基于用户的权限对所有端点应用访问规则。
• 了解如何按角色对权限进行分组，以及如何基于用户的角色应用授权规则。

2、基于权限和角色限制访问

  这里将介绍授权和角色得概念。可以使用它们保护应用程序得所有端点。其中不同的用户具有不同的权利。根据用户拥有的权利，他们只能执行特定的操作。应用程序会将权利作为权限和角色来提供。

  在身份验证过程中，UserDetailsService会获取关于用户的所有详情，其中包括权限。应用程序在成功地对用户进行身份验证之后，将使用由GrantedAuthority接口表示的权限对用户进行授权。

  下面代码显示了GrantedAuthority接口地定义。==权限就是用户可以使用系统资源执行的操作。一个权限具有一个名称，对象的getAuthority()行为会将该名称作为String返回。在定义自定义授权规则时，可以使用权限的名称。授权规则通常是“Jane被允许删除(delete)产品记录”或“John被允许读取(read)文档记录”。在这种情况下，删除和读取就是被授予的权限。==

public interface GrantedAuthority extends Serializable {
	String getAuthority();
}

  UserDetails是Spring Security中描述用户的接口，它有一个GrantedAuthority实例的集合，如上图所示。可以允许用户拥有一个或多个权限。getAuthorities()方法会返回GrantedAuthority()实例的集合。可以在如下代码中查看这个方法。之所以实现这个方法，是为了让它返回授予用户的所有权限。身份验证结束之后，权限就会已登录用户的详细信息的一部分，应用程序可以使用它授予权限。

2.1 基于用户权限限制所有端点的访问

可以使用下面这些方法配置访问。

• hasAuthority():仅接收应用程序为其配置限制的一个权限作为参数。只有拥有该权限的用户才能调用端点。
• hasAnyAuthority():可以接收应用程序为其配置限制的多个权限。用户必须拥有至少一个指定的权限才能发出请求。
• access():为配置访问提供了无限的可能性，因为应用程序会基于Spring Expression Language(SpEL)构建授权规则。但是它会让代码更难阅读和调试。

2.1.1 项目依赖项：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

2.1.2 添加一个端点来测试授权配置

@RestController
public class HelloController {

    @GetMapping("/hello")
    public String hello() {
        return "Hello!";
    }
}

2.1.3 声明UserDetailsService并指定用户

@Configuration
public class ProjectConfig extends WebSecurityConfigurerAdapter {

    @Override
    @Bean
    public UserDetailsService userDetailsService() {
        var manager = new InMemoryUserDetailsManager();

        var user1 = User.withUsername("john")
                        .password("12345")
                        .authorities("READ")
                        .build();

        var user2 = User.withUsername("jane")
                        .password("12345")
                        .authorities("WRITE")
                        .build();

        //用户是由UserDetailsService添加和管理的
        manager.createUser(user1);
        manager.createUser(user2);

        return manager;
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic();

        http.authorizeRequests()
            .anyRequest()
            .hasAuthority("WRITE");	//指定用户可以访问端点的条件

    }
}

  在该配置类中，我们声明了一个InMemoryUserDetailsManager作为UserDetailsService,并添加了两个用户，John和Jane,他们会由这个实例管理。

  authorizeRequests()方法允许我们继续在端点上指定授权规则。anyRequest()方法表明，该规则适用于所有请求，无论使用的是URL还是HTTP方法。permitAll()方法允许访问所有请求，无论是否经过身份验证。这里我们配置的是只有拥有WRITE权限的用户才能访问所有端点。

测试：

john用户调用失败是因为他没有WRITE权限。

  @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic();
		
        http.authorizeRequests()
        .anyRequest()
        .hasAnyAuthority("WRITE", "READ");//允许具有WRITE和READ权限的用户请求
    }

  @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic();
		//使用WRITE权限对来自用户的请求进行授权
        http.authorizeRequests().anyRequest().access("hasAuthority('WRITE')");
    }

@Configuration
public class ProjectConfig extends WebSecurityConfigurerAdapter {

    @Override
    @Bean
    public UserDetailsService userDetailsService() {
        var manager = new InMemoryUserDetailsManager();

        var user1 = User.withUsername("john")
                .password("12345")
                .authorities("ROLE_ADMIN")//使用ROLE_前缀，GrantedAuthority现在就表示一个角色
                .build();

        var user2 = User.withUsername("jane")
                .password("12345")
                .authorities("ROLE_MANAGER")
                .build();

        manager.createUser(user1);
        manager.createUser(user2);

        return manager;
    }
    //...
 }

 @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic();

        http.authorizeRequests().anyRequest().hasRole("ADMIN");
    }

@Configuration
public class ProjectConfig extends WebSecurityConfigurerAdapter {

    @Override
    @Bean
    public UserDetailsService userDetailsService() {
        var manager = new InMemoryUserDetailsManager();

        var user1 = User.withUsername("john")
                        .password("12345")
                        .roles("ADMIN")
                        .build();

        var user2 = User.withUsername("jane")
                        .password("12345")
                        .roles("MANAGER")
                        .build();

        manager.createUser(user1);
        manager.createUser(user2);

        return manager;
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic();

        http.authorizeRequests().anyRequest().hasRole("ADMIN");
    }
}

@Configuration
public class ProjectConfig extends WebSecurityConfigurerAdapter {

  //...

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.httpBasic();
		//使用denyAll()限制对每一个人的访问
        http.authorizeRequests().anyRequest().denyAll();
    }
}