SpringBoot 安全管理

SpringBoot 安全管理：基于角色的访问控制详解

1. 概述

在 Spring Boot 应用开发中，保障系统安全至关重要。Spring Security 作为 Spring 生态系统中强大的安全框架，能为 Spring Boot 应用提供全面的安全服务，其中基于角色的访问控制（RBAC）是常用的安全机制，它依据用户的角色来限制对应用程序资源的访问。

2. 核心概念

• 角色（Role）：是对具有相同权限集合的用户群体的抽象。比如在企业应用里，常见的角色有“管理员”“普通用户”“财务人员”等，每个角色对应一组特定的操作权限。
• 权限（Permission）：定义了对具体资源的操作许可，像访问某个 URL、调用某个方法、读取或写入特定的数据等。角色与权限相互关联，一个角色可拥有多个权限，一个权限也能被多个角色拥有。

3. 实现基于角色访问控制的准备工作

3.1 添加依赖

在 pom.xml 文件中添加 Spring Security 依赖，让项目具备使用 Spring Security 功能的能力：

<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>com.example</groupId>
    <artifactId>spring-boot-security-demo</artifactId>
    <version>1.0-SNAPSHOT</version>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>3.1.6</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>

    <dependencies>
        <!-- Spring Boot Web 依赖 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <!-- Spring Boot Security 依赖 -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

3.2 创建用户和角色实体类

定义 User 和 Role 实体类，用于表示系统中的用户和角色信息：

import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import java.util.ArrayList;
import java.util.List;

@Entity
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String username;
    private String password;

    // 与角色实体类的关联关系
    private List<Role> roles = new ArrayList<>();

    // 省略getter和setter方法
}

import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import java.util.ArrayList;
import java.util.List;

@Entity
public class Role {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String name;

    // 与权限实体类的关联关系（如果有）
    // 这里简化处理，假设角色直接关联权限
    private List<String> permissions = new ArrayList<>();

    // 省略getter和setter方法
}

4. 配置 Spring Security 实现基于角色的访问控制

4.1 配置类 SecurityConfig.java

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails user = User.withUsername("user")
               .password(passwordEncoder().encode("password"))
               .roles("USER")
               .build();

        UserDetails admin = User.withUsername("admin")
               .password(passwordEncoder().encode("password"))
               .roles("ADMIN")
               .build();

        return new InMemoryUserDetailsManager(user, admin);
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
           .authorizeRequests()
               // 只有具有 ADMIN 角色的用户才能访问 /admin 路径
               .antMatchers("/admin/**").hasRole("ADMIN")
               // 具有 USER 或 ADMIN 角色的用户可以访问 /user 路径
               .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
               // 其他请求需要进行身份验证
               .anyRequest().authenticated()
               .and()
           .httpBasic();
        return http.build();
    }
}

在上述配置类中：

• passwordEncoder() 方法创建了一个 BCryptPasswordEncoder 实例，用于对用户密码进行加密处理。
• userDetailsService() 方法创建了两个用户，一个是普通用户 user，具有 USER 角色；另一个是管理员用户 admin，具有 ADMIN 角色。实际应用中，可以从数据库等数据源加载用户信息。
• securityFilterChain() 方法配置了不同 URL 路径的访问权限，同时启用了 HTTP 基本认证。

4.2 创建控制器类

创建 HomeController.java 来处理受保护资源的访问：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class HomeController {

    @GetMapping("/")
    public String home() {
        return "Welcome to the protected area!";
    }
}

创建 AdminController.java 来处理 /admin 路径的请求：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AdminController {

    @GetMapping("/admin")
    public String admin() {
        return "This is an admin-only area.";
    }
}

5. 基于注解的访问控制（可选）

Spring Security 还支持使用注解来实现基于角色的访问控制。可以在控制器方法或服务方法上使用 @PreAuthorize、@PostAuthorize 等注解来指定访问该方法所需的角色。例如：

import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class SecureController {

    @PreAuthorize("hasRole('ROLE_ADMIN')")
    @GetMapping("/secure/admin")
    public String adminOnly() {
        return "This is an admin-only resource.";
    }

    @PreAuthorize("hasAnyRole('ROLE_USER', 'ROLE_ADMIN')")
    @GetMapping("/secure/user")
    public String userOrAdmin() {
        return "This resource can be accessed by users and admins.";
    }
}

在上述代码中，@PreAuthorize 注解用于在方法执行前进行权限检查。只有具有相应角色的用户才能访问对应的方法。

6. 总结

通过以上步骤，我们在 Spring Boot 应用中实现了基于角色的访问控制。Spring Security 框架提供了强大而灵活的安全配置能力，既可以通过配置类进行 URL 级别的访问控制，也可以使用注解进行方法级别的访问控制。实际应用中，可根据具体业务需求进一步扩展和优化安全配置，确保系统资源的安全性。