个人中心
gpt4 book ai didi

spring security自定义决策管理器

转载 作者：qq735679552 更新时间：2022-09-28 22:32:09 26 4
gpt4 key购买 nike

CFSDN坚持开源创造价值，我们致力于搭建一个资源共享平台，让每一个IT人在这里找到属于你的精彩世界.

这篇CFSDN的博客文章spring security自定义决策管理器由作者收集整理，如果你对这篇文章有兴趣，记得点赞哟.

首先介绍下Spring的决策管理器，其接口为AccessDecisionManager，抽象类为AbstractAccessDecisionManager。而我们要自定义决策管理器的话一般是继承抽象类而不去直接实现接口.

在Spring中引入了投票器（AccessDecisionVoter）的概念，有无权限访问的最终觉得权是由投票器来决定的，最常见的投票器为RoleVoter，在RoleVoter中定义了权限的前缀，先看下Spring在RoleVoter中是怎么处理授权的.

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
   int result = ACCESS_ABSTAIN;
   Collection<? extends GrantedAuthority> authorities = extractAuthorities(authentication);
   for (ConfigAttribute attribute : attributes) {
     if ( this .supports(attribute)) {
       result = ACCESS_DENIED;
       // Attempt to find a matching granted authority
       for (GrantedAuthority authority : authorities) {
         if (attribute.getAttribute().equals(authority.getAuthority())) {
           return ACCESS_GRANTED;
         }
       }
     }
   }
   return result;
}
Collection<? extends GrantedAuthority> extractAuthorities(Authentication authentication) {
   return authentication.getAuthorities();
}

Authentication中是用户及用户权限信息，attributes是访问资源需要的权限，然后循环判断用户是否有访问资源需要的权限，如果有就返回ACCESS_GRANTED，通俗的说就是有权限.

Spring提供了3个决策管理器，至于这三个管理器是如何工作的请查看SpringSecurity源码 。

AffirmativeBased 一票通过，只要有一个投票器通过就允许访问 。

ConsensusBased 有一半以上投票器通过才允许访问资源 。

UnanimousBased 所有投票器都通过才允许访问 。

下面来实现一个简单的自定义决策管理器，这个决策管理器并没有使用投票器 。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
public class DefaultAccessDecisionManager extends AbstractAccessDecisionManager {
   public void decide( Authentication authentication, Object object, 
       Collection<ConfigAttribute> configAttributes) 
     throws AccessDeniedException, InsufficientAuthenticationException{
     SysUser user = (SysUser)authentication.getPrincipal();
     logger.info( "访问资源的用户为" +user.getUsername());
     //如果访问资源不需要任何权限则直接通过
     if ( configAttributes == null ) {
       return ;
     }
     Iterator<ConfigAttribute> ite = configAttributes.iterator();
     //遍历configAttributes看用户是否有访问资源的权限
     while ( ite.hasNext()){
       ConfigAttribute ca = ite.next();
       String needRole = ((SecurityConfig)ca).getAttribute();
       //ga 为用户所被赋予的权限。 needRole 为访问相应的资源应该具有的权限。
       for ( GrantedAuthority ga: authentication.getAuthorities()){
         if (needRole.trim().equals(ga.getAuthority().trim())){
           return ;
         }
       }
     }
     throw new AccessDeniedException( "" );
   }
}

 decide这个方法没有任何的返回值，需要在没有通过授权时抛出AccessDeniedException.

如果有访问某个资源需要同时拥有两个或两个以上权限的情况，这时候就要通过自定义AccessDecisionVoter来实现了，这个也很简单在这里就不赘述了。如果要在页面中使用hasRole()这样的表达式就需要注入WebExpressionVoter了。 在SpringSecurity中自定义权限前缀 。

权限的前缀默认是ROLE_，网上的很多例子是说，直接在配置文件中加上下面的配置就可以了.

?
1
2
3
<bean id= "roleVoter" class = "org.springframework.security.access.vote.RoleVoter" >
   <property name= "rolePrefix" value= "AUTH_" ></property>
</bean>

亲测不管用的，我想应该不是我配置的问题，而是在我们配置了http auto-config="true"Spring就已经将AccessDecisionManager初始化好了，即便配置到之前也不行，因为这个初始化是Spring自己来完成的，它并没有把你配置的roleVoter注入到AccessDecisionManager中。那我们就来手动的注入AccessDecisionManager吧.

在http配置中有个access-decision-manager-ref属性，可以使我们手动注入AccessDecisionManager，下面是详细配置 。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
<sec:http auto-config= "true" access-decision-manager-ref= "accessDecisionManager" >
   <sec:access-denied-handler ref= "accessDeniedHandler" />
   <sec:session-management invalid-session-url= "/login.jsp" />
   <sec:intercept-url pattern= "/app.jsp" access= "AUTH_GG_FBGBGG" />
   <sec:intercept-url pattern= "/**" access= "IS_AUTHENTICATED_FULLY" />
   <sec:form-login login-page= "/login.jsp" authentication-failure-url= "/login.jsp"
     default -target-url= "/index.jsp" />
</sec:http>
<bean id= "accessDecisionManager" class = "org.springframework.security.access.vote.AffirmativeBased" >
   <constructor-arg name= "decisionVoters" >
     <list>
       <ref bean= "roleVoter" />
       <ref bean= "authenticatedVoter" />
     </list>
   </constructor-arg>
   <property name= "messageSource" ref= "messageSource" ></property>
</bean>
<bean id= "roleVoter" class = "org.springframework.security.access.vote.RoleVoter" >
   <property name= "rolePrefix" value= "" ></property>
</bean>
<bean id= "authenticatedVoter" class = "org.springframework.security.access.vote.AuthenticatedVoter" />

在这里我们就不用自定义的AccessDecisionManager了，直接用Spring的AffirmativeBased，因为Spring本身提供的这些决策管理器就已经很强大了.

配置很简单，要想修改权限的前缀只需要修改roleVoter中的rolePrefix就可以了，如果不要前缀就让它为“”.

authenticatedVoter是为了支持IS_AUTHENTICATED这种认证，authenticatedVoter提供的3种认证，分别是 。

IS_AUTHENTICATED_ANONYMOUSLY 允许匿名用户进入 。

IS_AUTHENTICATED_FULLY 允许登录用户进入 。

IS_AUTHENTICATED_REMEMBERED 允许登录用户和rememberMe用户进入 。

总结 。

以上所述是小编给大家介绍的spring security自定义决策管理器，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对我网站的支持！ 。

原文链接：http://blog.sina.com.cn/s/blog_9c6852670102wwpc.html 。

最后此篇关于spring security自定义决策管理器的文章就讲到这里了,如果你想了解更多关于spring security自定义决策管理器的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！ 。

26 4 0
文章推荐： 浅谈Java程序运行机制及错误分析
文章推荐： 使用Lumberjack+zap进行日志切割归档操作
文章推荐： golang的time包:秒、毫秒、纳秒时间戳输出方式
文章推荐： 详解spring boot mybatis全注解化
qq735679552
个人简介

我是一名优秀的程序员,十分优秀！

滴滴打车优惠券免费领取
滴滴打车优惠券
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com