《Spring实战》-第十四章:保护方法(Security)(2)-使用表达式增强方法保护

慢来比较快,虚心学技术

前一篇文章中,我们通过使用@Secured@RolesAllowed两个注解实现了简单有效的基于角色的方法权限控制,但是有时候,我们并不是单纯的针对角色身份进行限制就可以的,还需要使用某些逻辑进行限制,所以Spring Security提供了四个注解帮助我们更细粒地去控制方法访问地权限,这些注解地参数都是SPEL表达式

使用这几个注解之前,我们需要先将@EnableGlobalMethodSecurity()prePostEnabled属性设置为true,如同前述,也可以同时使用securedEnabled和jsr250Enabled

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
}

首先测试使用addUser接口

@Override
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

使用dba登录,访问/user/userForm,访问用户信息填写页面

提交表单,返回调用成功

  • 使用@PreAuthorize实现方法前校验,此处我们使用SPEL表达式限定addUser方法必须在访问者具备ROLE_ADMIN身份,且传入参数user的age属性值必须大于50的情况下才可以访问
@Override
@PreAuthorize("hasRole('ROLE_ADMIN') AND #user.age>50")
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

首先使用dba用户进行访问,访问受限

再使用admin进行访问,参数正确,允许访问:

填写错误参数,年龄age填写为40,访问受限:


控制成功

  • 使用@PostAuthorize实现方法后校验,为了方便校验,Spring Security在SPEL中提供了returnObject代表方法返回对象,此处我们限制仅当方法返回的结果的userName属性为“admin”时才可以放行
@Override
@PostAuthorize("returnObject.userName=='admin'")
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

首先提交userName为dba的用户,访问受限

提交userName为admin的用户,允许访问

  • 使用@PreFilter@PostFilter注解实现数据在执行方法前及执行方法后集合的过滤,Spring Scurity提供了filterObject对象指代目标拦截对象,在@PreFilter中使用时,其代表传入列表参数,当传入参数中存在多个列表时,我们可以使用filterTarget属性指定需要过滤的目标参数的名称;当在@PostFilter中使用时,其代表返回列表.
@Override
@PostFilter(value="filterObject.userName!=principal.username")//限制返回的列表中,只允许返回和当前登陆用户名不同的user,即允许获取非当前用户
public List<User> getList() {
    List<User> users = new ArrayList<>();
    User user1 = new User("admin","123456",50);
    User user2 = new User("dba","123456",51);
    User user3 = new User("common","123456",52);
    users.add(user1);
    users.add(user2);
    users.add(user3);
    return users;
}

@Override
@PreFilter(filterTarget="users",value="filterObject.userName==principal.username")//限制进入方法的列表中,只能允许和当前登陆用户名一致的user传入,即只允许删除当前用户
public List<User> deleteList(List<User> users) {
    return users;
}

编写controller

@RequestMapping(value = {"/user/deleteUsers"})
public ModelAndView deleteUsers(){
    ModelAndView model = new ModelAndView();
    List<User> users = new ArrayList<>();
    User user1 = new User("admin","123456",50);
    User user2 = new User("dba","123456",50);
    User user3 = new User("common","123456",50);
    users.add(user1);
    users.add(user2);
    users.add(user3);
    List<User> targetList = this.baseService.deleteList(users);
    model.addObject("message","您删除的用户:");
    model.addObject("users",targetList);
    model.setViewName("showUserList");
    return model;
}

@RequestMapping(value = {"/user/getUsers"})
public ModelAndView getUsers(){
    ModelAndView model = new ModelAndView();
    List<User> users = this.baseService.getList();
    model.addObject("message","您获取到的用户");
    model.addObject("users",users);
    model.setViewName("showUserList");
    return model;
}

编写视图:showUserList.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ page isELIgnored="false" %>
<html>
<head>
    <title>用户信息列表</title>
</head>
<body>
<h2>${message}</h2>

    <table style="border:1px solid orangered;">
        <tr>
            <th>用户名</th>
            <th>用户密码</th>
            <th>用户年龄</th>
        </tr>
        <c:forEach items="${users}" var="user">
            <tr>
                <td style="font-size: large">${user.userName}</td>
                <td style="font-size: large">${user.password}</td>
                <td style="font-size: large">${user.age}</td>
            </tr>
        </c:forEach>
    </table>
</body>
</html>

使用admin访问/user/getUsers,结果获取到非admin用户信息

使用dba访问/user/getUsers,结果获取到非dba用户信息


使用admin访问/user/deleteUsers,结果仅删除了自身

推荐阅读更多精彩内容