這期內(nèi)容當(dāng)中小編將會(huì)給大家?guī)碛嘘P(guān)怎么在spring security中動(dòng)態(tài)配置url權(quán)限，文章內(nèi)容豐富且以專業(yè)的角度為大家分析和敘述，閱讀完這篇文章希望大家可以有所收獲。

創(chuàng)新互聯(lián)公司專業(yè)為企業(yè)提供同安網(wǎng)站建設(shè)、同安做網(wǎng)站、同安網(wǎng)站設(shè)計(jì)、同安網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計(jì)與制作、同安企業(yè)網(wǎng)站模板建站服務(wù)，10年同安做網(wǎng)站經(jīng)驗(yàn)，不只是建網(wǎng)站，更提供有價(jià)值的思路和整體網(wǎng)絡(luò)服務(wù)。

spring security 授權(quán)回顧

spring security 通過FilterChainProxy作為注冊到web的filter，F(xiàn)ilterChainProxy里面一次包含了內(nèi)置的多個(gè)過濾器，我們首先需要了解spring security內(nèi)置的各種filter：

最重要的是FilterSecurityInterceptor，該過濾器實(shí)現(xiàn)了主要的鑒權(quán)邏輯，最核心的代碼在這里：

protected InterceptorStatusToken beforeInvocation(Object object) { 
 // 獲取訪問URL所需權(quán)限
 Collection attributes = this.obtainSecurityMetadataSource()
 .getAttributes(object);

 
 Authentication authenticated = authenticateIfRequired();

 // 通過accessDecisionManager鑒權(quán)
 try {
 this.accessDecisionManager.decide(authenticated, object, attributes);
 }
 catch (AccessDeniedException accessDeniedException) {
 publishEvent(new AuthorizationFailureEvent(object, attributes, authenticated,
  accessDeniedException));

 throw accessDeniedException;
 }

 if (debug) {
 logger.debug("Authorization successful");
 }

 if (publishAuthorizationSuccess) {
 publishEvent(new AuthorizedEvent(object, attributes, authenticated));
 }

 // Attempt to run as a different user
 Authentication runAs = this.runAsManager.buildRunAs(authenticated, object,
 attributes);

 if (runAs == null) {
 if (debug) {
 logger.debug("RunAsManager did not change Authentication object");
 }

 // no further work post-invocation
 return new InterceptorStatusToken(SecurityContextHolder.getContext(), false,
  attributes, object);
 }
 else {
 if (debug) {
 logger.debug("Switching to RunAs Authentication: " + runAs);
 }

 SecurityContext origCtx = SecurityContextHolder.getContext();
 SecurityContextHolder.setContext(SecurityContextHolder.createEmptyContext());
 SecurityContextHolder.getContext().setAuthentication(runAs);

 // need to revert to token.Authenticated post-invocation
 return new InterceptorStatusToken(origCtx, true, attributes, object);
 }
 }

從上面可以看出，要實(shí)現(xiàn)動(dòng)態(tài)鑒權(quán)，可以從兩方面著手：

• 自定義SecurityMetadataSource，實(shí)現(xiàn)從數(shù)據(jù)庫加載ConfigAttribute

• 另外就是可以自定義accessDecisionManager，官方的UnanimousBased其實(shí)足夠使用，并且他是基于AccessDecisionVoter來實(shí)現(xiàn)權(quán)限認(rèn)證的，因此我們只需要自定義一個(gè)AccessDecisionVoter就可以了

下面來看分別如何實(shí)現(xiàn)。

自定義AccessDecisionManager

官方的三個(gè)AccessDecisionManager都是基于AccessDecisionVoter來實(shí)現(xiàn)權(quán)限認(rèn)證的，因此我們只需要自定義一個(gè)AccessDecisionVoter就可以了。

自定義主要是實(shí)現(xiàn)AccessDecisionVoter接口，我們可以仿照官方的RoleVoter實(shí)現(xiàn)一個(gè)：

public class RoleBasedVoter implements AccessDecisionVoter