《Spring实战》-第十四章：保护方法（Security）（2）-使用表达式增强方法保护

慢来比较快，虚心学技术

前一篇文章中，我们通过使用@Secured和@RolesAllowed两个注解实现了简单有效的基于角色的方法权限控制，但是有时候，我们并不是单纯的针对角色身份进行限制就可以的，还需要使用某些逻辑进行限制，所以Spring Security提供了四个注解帮助我们更细粒地去控制方法访问地权限，这些注解地参数都是SPEL表达式

注　　解	描　　述
@PreAuthorize	在方法调用之前，基于表达式的计算结果来限制对方法的访问
@PostAuthorize	允许方法调用，但是如果表达式计算结果为 false ，将抛出一个安全性异常
@PostFilter	允许方法调用，但必须按照表达式来过滤方法的结果
@PreFilter	允许方法调用，但必须在进入方法之前过滤输入值

使用这几个注解之前，我们需要先将@EnableGlobalMethodSecurity()的prePostEnabled属性设置为true，如同前述，也可以同时使用securedEnabled和jsr250Enabled

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
}

首先测试使用addUser接口

@Override
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

使用dba登录，访问/user/userForm,访问用户信息填写页面

 提交表单，返回调用成功

 

• 使用@PreAuthorize实现方法前校验，此处我们使用SPEL表达式限定addUser方法必须在访问者具备ROLE_ADMIN身份，且传入参数user的age属性值必须大于50的情况下才可以访问

@Override
@PreAuthorize("hasRole('ROLE_ADMIN') AND #user.age>50")
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

首先使用dba用户进行访问，访问受限

 再使用admin进行访问，参数正确，允许访问：

填写错误参数，年龄age填写为40，访问受限：

 控制成功

• 使用@PostAuthorize实现方法后校验,为了方便校验，Spring Security在SPEL中提供了returnObject代表方法返回对象，此处我们限制仅当方法返回的结果的userName属性为“admin”时才可以放行

@Override
@PostAuthorize("returnObject.userName=='admin'")
public User addUser(User user) {
    System.out.println("添加用户");
    return this.baseDao.save(user);
}

首先提交userName为dba的用户，访问受限

 提交userName为admin的用户，允许访问

•  使用@PreFilter 和@PostFilter注解实现数据在执行方法前及执行方法后集合的过滤，Spring Scurity提供了filterObject对象指代目标拦截对象，在@PreFilter中使用时，其代表传入列表参数，当传入参数中存在多个列表时，我们可以使用filterTarget属性指定需要过滤的目标参数的名称；当在@PostFilter中使用时，其代表返回列表.

@Override
@PostFilter(value="filterObject.userName!=principal.username")//限制返回的列表中，只允许返回和当前登陆用户名不同的user，即允许获取非当前用户
public List getList() {
    List users = new ArrayList<>();
    User user1 = new User("admin","123456",50);
    User user2 = new User("dba","123456",51);
    User user3 = new User("common","123456",52);
    users.add(user1);
    users.add(user2);
    users.add(user3);
    return users;
}

@Override
@PreFilter(filterTarget="users",value="filterObject.userName==principal.username")//限制进入方法的列表中，只能允许和当前登陆用户名一致的user传入，即只允许删除当前用户
public List deleteList(List users) {
    return users;
}

编写controller

@RequestMapping(value = {"/user/deleteUsers"})
public ModelAndView deleteUsers(){
    ModelAndView model = new ModelAndView();
    List users = new ArrayList<>();
    User user1 = new User("admin","123456",50);
    User user2 = new User("dba","123456",50);
    User user3 = new User("common","123456",50);
    users.add(user1);
    users.add(user2);
    users.add(user3);
    List targetList = this.baseService.deleteList(users);
    model.addObject("message","您删除的用户：");
    model.addObject("users",targetList);
    model.setViewName("showUserList");
    return model;
}

@RequestMapping(value = {"/user/getUsers"})
public ModelAndView getUsers(){
    ModelAndView model = new ModelAndView();
    List users = this.baseService.getList();
    model.addObject("message","您获取到的用户");
    model.addObject("users",users);
    model.setViewName("showUserList");
    return model;
}

编写视图：showUserList.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ page isELIgnored="false" %>


    


${message}

    
            

        

            
用户名
            
用户密码
            
用户年龄
        
        

                
${user.userName}
                
${user.password}
                
${user.age}
            
        
    

使用admin访问/user/getUsers,结果获取到非admin用户信息

使用dba访问/user/getUsers,结果获取到非dba用户信息

使用admin访问/user/deleteUsers，结果仅删除了自身