聊聊SpringSecurity的新接口AuthorizationManager

抢一个玩玩吧，别忘了分享给别的同学们。

公司主营业务：网站建设、成都做网站、移动网站开发等业务。帮助企业客户真正实现互联网宣传，提高企业的竞争能力。创新互联建站是一支青春激扬、勤奋敬业、活力青春激扬、勤奋敬业、活力澎湃、和谐高效的团队。公司秉承以“开放、自由、严谨、自律”为核心的企业文化，感谢他们对我们的高要求，感谢他们从不同领域给我们带来的挑战，让我们激情的团队有机会用头脑与智慧不断的给客户带来惊喜。创新互联建站推出襄垣免费做网站回馈大家。

AuthorizationManager

它用来检查当前认证信息Authentication是否可以访问特定对象T。AuthorizationManager将访问决策抽象更加泛化。

@FunctionalInterface
public interface AuthorizationManager {
 
 default void verify(Supplier authentication, T object) {
  AuthorizationDecision decision = check(authentication, object);
        // 授权决策没有经过允许就403
  if (decision != null && !decision.isGranted()) {
   throw new AccessDeniedException("Access Denied");
  }
        // todo 没有null 的情况
 }

    // 钩子方法。
 @Nullable
 AuthorizationDecision check(Supplier authentication, T object);

}

我们只需要实现钩子方法check就可以了，它将当前提供的认证信息authentication和泛化对象T进行权限检查，并返回AuthorizationDecision，AuthorizationDecision.isGranted将决定是否能够访问当前资源。AuthorizationManager提供了两种使用方式。

基于配置

为了使用AuthorizationManager，引入了相关配置是AuthorizeHttpRequestsConfigurer，这个配置类非常类似于第九章中的基于表达式的访问控制。

基于AuthorizationManager的访问控制.png

在Spring Security 5.5中，我们就可以这样去实现了：

      // 注意和 httpSecurity.authorizeRequests的区别
        httpSecurity.authorizeHttpRequests()
                .anyRequest()
                .access((authenticationSupplier, requestAuthorizationContext) -> {
                    // 当前用户的权限信息 比如角色
                    Collection authorities = authenticationSupplier.get().getAuthorities();
                    // 当前请求上下文
                    // 我们可以获取携带的参数
                    Map variables = requestAuthorizationContext.getVariables();
                    // 我们可以获取原始request对象
                    HttpServletRequest request = requestAuthorizationContext.getRequest();
                    //todo 根据这些信息 和业务写逻辑即可 最终决定是否授权 isGranted
                    boolean isGranted = true;
                    return new AuthorizationDecision(isGranted);
                });

这样门槛是不是低多了呢?同样地，它也可以作用于注解。

基于注解

AuthorizationManager还提供了基于注解的使用方式。但是在了解这种方式之前我们先来看看它的实现类关系：

AuthorizationManager的实现

胖哥发现这一点也是从AuthorizationManager的实现中倒推出来的，最终发现了@EnableMethodSecurity这个注解，它的用法和@EnableGlobalMethodSecurity类似，对同样的三种注解(参见EnableGlobalMethodSecurity)进行了支持。用法也几乎一样，开启注解即可使用：

@EnableMethodSecurity(
        securedEnabled = true,
        jsr250Enabled = true)
public class MethodSecurityConfig  {
    
}

例子就不在这里重复了。

标题名称：聊聊SpringSecurity的新接口AuthorizationManager
网站地址：http://www.mswzjz.cn/qtweb/news9/257309.html

攀枝花网站建设、攀枝花网站运维推广公司-贝锐智能，是专注品牌与效果的网络营销公司；服务项目有等

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源：贝锐智能

贝锐智能技术为您推荐以下文章