《Spring实战》-第十四章：保护方法（Security）（2

2019-04-10 本文已影响3人廖小明的赖胖子

慢来比较快，虚心学技术

前一篇文章中，我们通过使用@Secured和@RolesAllowed两个注解实现了简单有效的基于角色的方法权限控制，但是有时候，我们并不是单纯的针对角色身份进行限制就可以的，还需要使用某些逻辑进行限制，所以Spring Security提供了四个注解帮助我们更细粒地去控制方法访问地权限，这些注解地参数都是SPEL表达式

使用这几个注解之前，我们需要先将@EnableGlobalMethodSecurity()的prePostEnabled属性设置为true，如同前述，也可以同时使用securedEnabled和jsr250Enabled

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
}

首先测试使用addUser接口

@Override
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

使用dba登录，访问/user/userForm,访问用户信息填写页面

提交表单，返回调用成功

使用@PreAuthorize实现方法前校验，此处我们使用SPEL表达式限定addUser方法必须在访问者具备ROLE_ADMIN身份，且传入参数user的age属性值必须大于50的情况下才可以访问

@Override
@PreAuthorize("hasRole('ROLE_ADMIN') AND #user.age>50")
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

首先使用dba用户进行访问，访问受限

再使用admin进行访问，参数正确，允许访问：

填写错误参数，年龄age填写为40，访问受限：

控制成功

使用@PostAuthorize实现方法后校验,为了方便校验，Spring Security在SPEL中提供了returnObject代表方法返回对象，此处我们限制仅当方法返回的结果的userName属性为“admin”时才可以放行

@Override
@PostAuthorize("returnObject.userName=='admin'")
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

首先提交userName为dba的用户，访问受限

提交userName为admin的用户，允许访问

使用@PreFilter 和@PostFilter注解实现数据在执行方法前及执行方法后集合的过滤，Spring Scurity提供了filterObject对象指代目标拦截对象，在@PreFilter中使用时，其代表传入列表参数，当传入参数中存在多个列表时，我们可以使用filterTarget属性指定需要过滤的目标参数的名称；当在@PostFilter中使用时，其代表返回列表.

@Override
@PostFilter(value="filterObject.userName!=principal.username")//限制返回的列表中，只允许返回和当前登陆用户名不同的user，即允许获取非当前用户
public List<User> getList() {
    List<User> users = new ArrayList<>();
    User user1 = new User("admin","123456",50);
    User user2 = new User("dba","123456",51);
    User user3 = new User("common","123456",52);
    users.add(user1);
    users.add(user2);
    users.add(user3);
    return users;
}

@Override
@PreFilter(filterTarget="users",value="filterObject.userName==principal.username")//限制进入方法的列表中，只能允许和当前登陆用户名一致的user传入，即只允许删除当前用户
public List<User> deleteList(List<User> users) {
    return users;
}

编写controller

@RequestMapping(value = {"/user/deleteUsers"})
public ModelAndView deleteUsers(){
    ModelAndView model = new ModelAndView();
    List<User> users = new ArrayList<>();
    User user1 = new User("admin","123456",50);
    User user2 = new User("dba","123456",50);
    User user3 = new User("common","123456",50);
    users.add(user1);
    users.add(user2);
    users.add(user3);
    List<User> targetList = this.baseService.deleteList(users);
    model.addObject("message","您删除的用户：");
    model.addObject("users",targetList);
    model.setViewName("showUserList");
    return model;
}

@RequestMapping(value = {"/user/getUsers"})
public ModelAndView getUsers(){
    ModelAndView model = new ModelAndView();
    List<User> users = this.baseService.getList();
    model.addObject("message","您获取到的用户");
    model.addObject("users",users);
    model.setViewName("showUserList");
    return model;
}

编写视图：showUserList.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ page isELIgnored="false" %>
<html>
<head>
    <title>用户信息列表</title>
</head>
<body>
<h2>${message}</h2>

    <table style="border:1px solid orangered;">
        <tr>
            <th>用户名</th>
            <th>用户密码</th>
            <th>用户年龄</th>
        </tr>
        <c:forEach items="${users}" var="user">
            <tr>
                <td style="font-size: large">${user.userName}</td>
                <td style="font-size: large">${user.password}</td>
                <td style="font-size: large">${user.age}</td>
            </tr>
        </c:forEach>
    </table>
</body>
</html>

使用admin访问/user/getUsers,结果获取到非admin用户信息

使用dba访问/user/getUsers,结果获取到非dba用户信息

使用admin访问/user/deleteUsers，结果仅删除了自身

《Spring实战》-第十四章：保护方法（Security）（2

猜你喜欢

热点阅读