Spring Boot 提供了多種權(quán)限管理方式，以下是幾種常見的方法，以及相應(yīng)的示例：

1. 基于角色的訪問控制（Role-Based Access Control，RBAC）

在基于角色的訪問控制中，權(quán)限分配給角色，然后將角色分配給用戶。這種方法簡化了權(quán)限管理，因?yàn)槟恍枰芾斫巧陀脩糁g的關(guān)系。

示例：使用 Spring Security 實(shí)現(xiàn) RBAC

1.1. 添加 Spring Security 依賴項(xiàng)到 pom.xml：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

1.2. 創(chuàng)建一個(gè) SecurityConfig 類，繼承 WebSecurityConfigurerAdapter，并配置角色和權(quán)限：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
            .antMatchers("/").permitAll()
            .and().formLogin();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("admin").password(passwordEncoder().encode("admin123")).roles("ADMIN")
            .and()
            .withUser("user").password(passwordEncoder().encode("user123")).roles("USER");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

2. 基于屬性的訪問控制（Attribute-Based Access Control，ABAC）

在基于屬性的訪問控制中，權(quán)限是基于用戶、資源和環(huán)境屬性的。這種方法提供了更細(xì)粒度的權(quán)限控制，但可能更難管理。

示例：使用 Spring Security 的 @PreAuthorize 實(shí)現(xiàn) ABAC

2.1. 在 SecurityConfig 類中啟用方法安全性：

@EnableGlobalMethodSecurity(prePostEnabled = true)

2.2. 在需要保護(hù)的方法上添加 @PreAuthorize 注解：

@RestController
@RequestMapping("/api")
public class ApiController {

    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/admin")
    public String admin() {
        return "Admin area";
    }

    @PreAuthorize("hasRole('USER')")
    @GetMapping("/user")
    public String user() {
        return "User area";
    }
}

3. 基于訪問控制列表（Access Control List，ACL）

在基于訪問控制列表的權(quán)限管理中，為每個(gè)資源定義一個(gè)訪問控制列表，指定哪些用戶或角色可以訪問該資源。這種方法適用于需要對每個(gè)資源進(jìn)行細(xì)粒度控制的場景。

示例：使用 Spring Security 的 ACL 模塊實(shí)現(xiàn) ACL

3.1. 添加 Spring Security ACL 依賴項(xiàng)到 pom.xml：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-acl</artifactId>
    <version>5.6.1</version>
</dependency>

3.2. 配置 ACL 數(shù)據(jù)源、服務(wù)和權(quán)限評估器：

@Configuration
public class AclConfig {

    @Autowired
    private DataSource dataSource;

    @Bean
    public JdbcMutableAclService aclService() {
        return new JdbcMutableAclService(dataSource, lookupStrategy(), aclCache());
    }

    @Bean
    public AclAuthorizationStrategy aclAuthorizationStrategy() {
        return new AclAuthorizationStrategyImpl(new SimpleGrantedAuthority("ROLE_ADMIN"));
    }

    @Bean
    public PermissionGrantingStrategy permissionGrantingStrategy() {
        return new DefaultPermissionGrantingStrategy(new ConsoleAuditLogger());
    }

    @Bean
    public EhCacheBasedAclCache aclCache() {
        return new EhCacheBasedAclCache(ehCacheFactoryBean().getObject(), permissionGrantingStrategy(), aclAuthorizationStrategy());
    }

    @Bean
    public EhCacheFactoryBean ehCacheFactoryBean() {
        EhCacheFactoryBean factoryBean = new EhCacheFactoryBean();
        factoryBean.setCacheManager(cacheManager().getObject());
        factoryBean.setCacheName("aclCache");
        return factoryBean;
    }

    @Bean
    public EhCacheManagerFactoryBean cacheManager() {
        return new EhCacheManagerFactoryBean();
    }

    @Bean
    public LookupStrategy lookupStrategy() {
        return new BasicLookupStrategy(dataSource, aclCache(), aclAuthorizationStrategy(), new ConsoleAuditLogger());
    }

    @Bean
    public AclPermissionEvaluator permissionEvaluator() {
        return new AclPermissionEvaluator(aclService());
    }
}

3.3. 在需要保護(hù)的方法上添加 @PreAuthorize 注解，使用 hasPermission 表達(dá)式：

@PreAuthorize("hasPermission(#resourceId, 'com.example.Resource', 'read')")
@GetMapping("/resource/{resourceId}")
public String getResource(@PathVariable Long resourceId) {
    return "Resource " + resourceId;
}

這些示例僅用于演示 Spring Boot 中權(quán)限管理的幾種方式。實(shí)際應(yīng)用中，您可能需要根據(jù)項(xiàng)目需求進(jìn)行更詳細(xì)的配置和實(shí)現(xiàn)。文章來源地址http://www.zghlxwxcb.cn/news/detail-614636.html

到了這里，關(guān)于spring boot 權(quán)限管理的幾種方式的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！