java - 如何使用 Spring Security 重新加载用户更新权限

Question

我正在使用 Spring Security 通过 OpenID 进行身份验证的应用程序。当用户登录时，会在他的 session 中加载一些权限。

我拥有完全权限的用户，可以修改其他用户的权限(撤销、添加角色)。我的问题是，如何动态更改用户 session 权限？ (不能使用 SecurityContextHolder，因为我想更改另一个用户 session )。

简单的方法:使用户 session 无效，但如何？更好的方法:用新的权限刷新用户 session ，但是如何？

Answer 1

如果您需要动态更新已登录用户的权限(当这些权限发生更改时，无论出于何种原因)，当然无需注销并登录，您只需重置 Authentication Spring SecurityContextHolder 中的对象(安全 token )。

例子:

Authentication auth = SecurityContextHolder.getContext().getAuthentication();

List<GrantedAuthority> updatedAuthorities = new ArrayList<>(auth.getAuthorities());
updatedAuthorities.add(...); //add your role here [e.g., new SimpleGrantedAuthority("ROLE_NEW_ROLE")]

Authentication newAuth = new UsernamePasswordAuthenticationToken(auth.getPrincipal(), auth.getCredentials(), updatedAuthorities);

SecurityContextHolder.getContext().setAuthentication(newAuth);