SpringSecurity实现前后端分离登录授权详解

山河亦问安

已于 2023-06-18 12:07:05 修改

阅读量5.1k

点赞数 92

CC 4.0 BY-SA版权

分类专栏： SpringSecurity 文章标签： java 开发语言

于 2023-06-14 17:25:56 首次发布

本文链接：https://blog.csdn.net/qq_43649937/article/details/131196736

文章详细介绍了如何使用SpringSecurity进行权限系统的设计，包括授权的基本流程、权限校验方法如hasAuthority和hasRole，以及如何自定义权限校验和异常处理方案。通过注解实现基于角色和权限的访问控制，并展示了自定义权限校验方法的示例。

在介绍完SpringSecurity实现前后端分离认证之后，然后就是SpringSecurity授权，在阅读本文章之前可以先了解一下作者的上一篇文章SpringSecurity认证SpringSecurity实现前后端分离登录token认证详解_山河亦问安的博客-CSDN博客。

1. 授权

1.1 权限系统的作用

例如一个学校图书馆的管理系统，如果是普通学生登录就能看到借书还书相关的功能，不可能让他看到并且去使用添加书籍信息，删除书籍信息等功能。但是如果是一个图书馆管理员的账号登录了，应该就能看到并使用添加书籍信息，删除书籍信息等功能。
总结起来就是不同的用户可以使用不同的功能。这就是权限系统要去实现的效果。
我们不能只依赖前端去判断用户的权限来选择显示哪些菜单哪些按钮。因为如果只是这样，如果有人知道了对应功能的接口地址就可)不通过前端，直接去发送请求来实现相关功能操作。
所以我们还需要在后台进行用户权限的判断，判断当前用户是否有相应的权限，必须基于所需权限才能进行相应的操作。

1.2 授权基本流程

在SpringSecurity中，会使用默认的FilterSecurityInterceptor来进行权限校验。在FilterSecurityInterceptor中会从SecurityContextHolder获取其中的Authentication，然后获取其中的权限信息。当前用户是否拥有访问当前资源所需的权限。所以我们在项目中只需要把当前登录用户的权限信息也存入Authentication。然后设置我们的资源所需要的权限即可。