美文网首页JavaJAVA学习记录Java 杂谈
《Spring实战》-第十四章:保护方法(Security)(2

《Spring实战》-第十四章:保护方法(Security)(2

作者: 廖小明的赖胖子 | 来源:发表于2019-04-10 23:46 被阅读3次

    慢来比较快,虚心学技术

    前一篇文章中,我们通过使用@Secured@RolesAllowed两个注解实现了简单有效的基于角色的方法权限控制,但是有时候,我们并不是单纯的针对角色身份进行限制就可以的,还需要使用某些逻辑进行限制,所以Spring Security提供了四个注解帮助我们更细粒地去控制方法访问地权限,这些注解地参数都是SPEL表达式

    使用这几个注解之前,我们需要先将@EnableGlobalMethodSecurity()prePostEnabled属性设置为true,如同前述,也可以同时使用securedEnabled和jsr250Enabled

    @Configuration
    @EnableGlobalMethodSecurity(prePostEnabled = true)
    public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    }
    

    首先测试使用addUser接口

    @Override
    public User addUser(User user) {
        System.out.println("添加用户");
        return this.baseDao.save(user);
    }
    

    使用dba登录,访问/user/userForm,访问用户信息填写页面

    提交表单,返回调用成功

    • 使用@PreAuthorize实现方法前校验,此处我们使用SPEL表达式限定addUser方法必须在访问者具备ROLE_ADMIN身份,且传入参数user的age属性值必须大于50的情况下才可以访问
    @Override
    @PreAuthorize("hasRole('ROLE_ADMIN') AND #user.age>50")
    public User addUser(User user) {
        System.out.println("添加用户");
        return this.baseDao.save(user);
    }
    

    首先使用dba用户进行访问,访问受限

    再使用admin进行访问,参数正确,允许访问:

    填写错误参数,年龄age填写为40,访问受限:


    控制成功

    • 使用@PostAuthorize实现方法后校验,为了方便校验,Spring Security在SPEL中提供了returnObject代表方法返回对象,此处我们限制仅当方法返回的结果的userName属性为“admin”时才可以放行
    @Override
    @PostAuthorize("returnObject.userName=='admin'")
    public User addUser(User user) {
        System.out.println("添加用户");
        return this.baseDao.save(user);
    }
    

    首先提交userName为dba的用户,访问受限

    提交userName为admin的用户,允许访问

    • 使用@PreFilter@PostFilter注解实现数据在执行方法前及执行方法后集合的过滤,Spring Scurity提供了filterObject对象指代目标拦截对象,在@PreFilter中使用时,其代表传入列表参数,当传入参数中存在多个列表时,我们可以使用filterTarget属性指定需要过滤的目标参数的名称;当在@PostFilter中使用时,其代表返回列表.
    @Override
    @PostFilter(value="filterObject.userName!=principal.username")//限制返回的列表中,只允许返回和当前登陆用户名不同的user,即允许获取非当前用户
    public List<User> getList() {
        List<User> users = new ArrayList<>();
        User user1 = new User("admin","123456",50);
        User user2 = new User("dba","123456",51);
        User user3 = new User("common","123456",52);
        users.add(user1);
        users.add(user2);
        users.add(user3);
        return users;
    }
    
    @Override
    @PreFilter(filterTarget="users",value="filterObject.userName==principal.username")//限制进入方法的列表中,只能允许和当前登陆用户名一致的user传入,即只允许删除当前用户
    public List<User> deleteList(List<User> users) {
        return users;
    }
    

    编写controller

    @RequestMapping(value = {"/user/deleteUsers"})
    public ModelAndView deleteUsers(){
        ModelAndView model = new ModelAndView();
        List<User> users = new ArrayList<>();
        User user1 = new User("admin","123456",50);
        User user2 = new User("dba","123456",50);
        User user3 = new User("common","123456",50);
        users.add(user1);
        users.add(user2);
        users.add(user3);
        List<User> targetList = this.baseService.deleteList(users);
        model.addObject("message","您删除的用户:");
        model.addObject("users",targetList);
        model.setViewName("showUserList");
        return model;
    }
    
    @RequestMapping(value = {"/user/getUsers"})
    public ModelAndView getUsers(){
        ModelAndView model = new ModelAndView();
        List<User> users = this.baseService.getList();
        model.addObject("message","您获取到的用户");
        model.addObject("users",users);
        model.setViewName("showUserList");
        return model;
    }
    

    编写视图:showUserList.jsp

    <%@ page contentType="text/html;charset=UTF-8" language="java" %>
    <%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
    <%@ page isELIgnored="false" %>
    <html>
    <head>
        <title>用户信息列表</title>
    </head>
    <body>
    <h2>${message}</h2>
    
        <table style="border:1px solid orangered;">
            <tr>
                <th>用户名</th>
                <th>用户密码</th>
                <th>用户年龄</th>
            </tr>
            <c:forEach items="${users}" var="user">
                <tr>
                    <td style="font-size: large">${user.userName}</td>
                    <td style="font-size: large">${user.password}</td>
                    <td style="font-size: large">${user.age}</td>
                </tr>
            </c:forEach>
        </table>
    </body>
    </html>
    

    使用admin访问/user/getUsers,结果获取到非admin用户信息

    使用dba访问/user/getUsers,结果获取到非dba用户信息


    使用admin访问/user/deleteUsers,结果仅删除了自身

    相关文章

      网友评论

        本文标题:《Spring实战》-第十四章:保护方法(Security)(2

        本文链接:https://www.haomeiwen.com/subject/rugaiqtx.html