Spring Boot + Spring Security实现基于角色的权限控制管理

SodaCat3个月前发布

1570

在现代应用程序中，确保基于用户角色的安全访问至关重要。基于角色的访问控制（RBAC） 是一种常见的模式，用于根据用户在组织中的角色来限制其访问权限。在本博客中，我们将探讨如何使用 Spring Security 在 Spring 应用程序中实现 RBAC。

基于角色和权限的访问控制 | Spring Security | Spring Boot

什么是基于角色的访问控制（RBAC）？

RBAC 是一种访问控制机制，它根据用户的角色而不是个人身份来分配权限。通过将用户分类为预定义的角色（如 Admin、User 或 Guest），RBAC 简化了权限管理。

在 Spring 应用程序中，Spring Security 提供了强大的工具来设置和管理 RBAC，帮助开发者基于用户角色高效地保护端点。

设置 Spring Security

首先，创建一个包含必要依赖项的 Spring Boot 项目：

依赖项（build.gradle）

将以下依赖项添加到您的 build.gradle 文件中：

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
    implementation 'org.springframework.boot:spring-boot-starter-web'
    implementation 'org.springframework.boot:spring-boot-starter-data-jpa'
    implementation 'com.h2database:h2'
}

在 Spring Security 中配置基于角色的访问控制

让我们从配置 Spring Security 开始，以启用基于角色的访问控制。

1. 定义用户角色和权限

创建一个简单的枚举 Role 来定义我们应用程序的角色。

public enum Role {
    ROLE_ADMIN, ROLE_USER
}

2. 创建用户和角色实体

定义带有角色的 User 实体，并配置用户和角色之间的关系。

import javax.persistence.*;
import java.util.Set;

@Entity
public class User {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    @ElementCollection(fetch = FetchType.EAGER)
    @Enumerated(EnumType.STRING)
    private Set<Role> roles;

    // Getters and Setters
}

3. 设置 UserRepository 和 UserDetailsService

为了从数据库中加载用户，创建一个 UserRepository 并实现 UserDetailsService。

import org.springframework.data.jpa.repository.JpaRepository;

public interface UserRepository extends JpaRepository<User, Long> {
    Optional<User> findByUsername(String username);
}

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username)
                .orElseThrow(() -> new UsernameNotFoundException("User not found"));
        
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                user.getRoles().stream()
                        .map(role -> new SimpleGrantedAuthority(role.name()))
                        .collect(Collectors.toList())
        );
    }
}

4. 在 `SecurityConfig` 中配置基于角色的安全性

现在，配置 SecurityConfig 类以管理不同角色的访问控制。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
            .antMatchers("/").permitAll()
            .and()
            .formLogin()
            .and()
            .logout();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在此配置中：

只有具有 ADMIN 角色的用户才能访问 /admin/** 下的路由。
具有 USER 和 ADMIN 角色的用户都可以访问 /user/** 下的路由。
/ 下的路由对所有人开放。

测试 RBAC 配置

通过此配置，让我们添加控制器以测试基于角色的访问。

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class HomeController {

    @GetMapping("/")
    public String home() {
        return "Welcome to the public page!";
    }

    @GetMapping("/user/dashboard")
    public String userDashboard() {
        return "Welcome to the User Dashboard!";
    }

    @GetMapping("/admin/dashboard")
    public String adminDashboard() {
        return "Welcome to the Admin Dashboard!";
    }
}

现在，运行应用程序。尝试以不同角色的用户访问 /user/dashboard 和 /admin/dashboard 来测试访问控制。

总结

基于角色的访问控制对于保护应用程序资源至关重要。通过利用 Spring Security，您可以实现一个灵活、可维护的访问控制模型，该模型可以随着应用程序的扩展而扩展。本文涵盖了基础知识，但 Spring Security 还提供了许多其他功能来扩展 RBAC，例如自定义权限、动态角色管理等。感兴趣的小伙伴可以进一步探索。

评分

欢迎为Ta评分