玩转Spring Cloud Security OAuth2资源授权动态权限扩展

在Spring Cloud Security 中，认证和授权都是通过FilterChainProxy（Servlet Filter过滤器）拦截然后进行操作的，详细的操作流程可以参考深入理解Spring Cloud Security OAuth2资源授权。FilterSecurityInterceptor过滤器拦截了受保护资源的请求，然后进行授权处理，授权验证的逻辑在其父类AbstractSecurityInterceptor实现。大致流程如下：

1. 使用SecurityMetadataSource根据http请求获取对应拥有的权限。
2. 使用Spring Security授权模块对用户访问的资源进行授权验证。

AbstractSecurityInterceptor的部分源码如下：

    // AbstractSecurityInterceptor.java
	protected InterceptorStatusToken beforeInvocation(Object object) {
        ......

        // 根据http请求获取对应的配置的权限信息
		Collection attributes = this.obtainSecurityMetadataSource()
				.getAttributes(object);

	    ......
        // 对用户认证进行校验
		Authentication authenticated = authenticateIfRequired();
		try {
            // 对用户的权限与访问资源拥有的权限进行校验
			this.accessDecisionManager.decide(authenticated, object, attributes);
		}
		catch (AccessDeniedException accessDeniedException) {
			publishEvent(new AuthorizationFailureEvent(object, attributes, authenticated,
					accessDeniedException));

			throw accessDeniedException;
		}
        ......
	}

在默认的SecurityMetadataSource的子类DefaultFilterInvocationSecurityMetadataSource实现中，会把资源服务器配置的权限信息全部加载到内存。如果要实现授权权限的动态修改，需要扩展SecurityMetadataSource，例如，使权限数据能够动态的从数据库获取。并且，自定义根据动态权限认证逻辑AccessDecisionVoter。

扩展SecurityMetadataSource

自定义PermissionFilterInvocationSecurityMetadataSource，参考默认的DefaultFilterInvocationSecurityMetadataSource实现从数据库动态的根据访问http请求获取配置的权限。由于每次都需要获取全部的有效的权限配置数据，可以对权限数据做一个本地缓存，提交查询效率。在ConfigAttribute的子类实现中，可以使用SecurityConfig保存配置的权限，ConfigAttribute的子类实现以及使用方式可以参考Spring Security教程 Vol 7. 访问规则ConfigAttribute。实现代码如下：

public class PermissionFilterInvocationSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {

    private final PermissionClient permissionClient;

    public PermissionFilterInvocationSecurityMetadataSource(PermissionClient permissionClient) {
        this.permissionClient = permissionClient;
    }

    /**
     * 转换权限列表
     */
    private Map> requestMatcherCollectionMap() {

        List allPermissions = permissionClient.findAllList();
        if (CollectionUtils.isEmpty(allPermissions)) {
            return ImmutableMap.of();
        }
        return allPermissions.stream()
                .collect(Collectors.toMap(permission -> new AntPathRequestMatcher(permission.getUrl()),
                        permission -> Lists.newArrayList(new SecurityConfig(permission.getCode()))));
    }


    @Override
    public Collection getAttributes(Object object) throws IllegalArgumentException {

        final HttpServletRequest request = ((FilterInvocation) object).getRequest();
        for (Map.Entry> entry : requestMatcherCollectionMap().entrySet()) {
            if (entry.getKey().matches(request)) {
                return entry.getValue();
            }
        }
        return null;
    }

    @Override
    public Collection getAllConfigAttributes() {
        return requestMatcherCollectionMap().values()
                .stream().flatMap(Collection::stream)
                .collect(Collectors.toList());
    }

    @Override
    public boolean supports(Class clazz) {
        return FilterInvocation.class.isAssignableFrom(clazz);
    }
}

扩展根据权限授权逻辑

自定义PermissionsVoter类实现AccessDecisionVoter接口，实现了用户只要拥有访问资源的权限就可以访问。参考RoleVoter具体的实现逻辑，代码如下：

public class PermissionsVoter implements AccessDecisionVoter