秒速更新权限！Spring Security加持，惊艳职场

后端

2023-12-24 09:00:24

实时更新权限：Spring Security的创新之举

在现代应用程序开发中，权限管理至关重要。然而，传统方法往往存在缺陷，导致用户体验不佳和开发复杂性。Spring Security 凭借其创新的实时权限更新机制，改变了权限管理的格局。

传统做法的局限

传统的权限控制方法使用拦截器来检查每个请求。这种做法虽然简单，但存在以下弊端：

用户体验不佳： 用户必须退出并重新登录才能获取更新后的权限。
任务中断： 正在进行中的任务可能会因权限更新而中断。
性能影响： 每次请求都进行权限检查，降低了系统性能。

Spring Security的革新

Spring Security 通过直接修改 Redis 中存储的权限信息，实现了权限的实时更新。这种方法无需拦截器或退出用户，从而克服了传统方法的局限性。

原理：

权限信息存储在 Redis 中。
当权限更新时，Spring Security 将新权限写入 Redis。
访问受保护资源时，Spring Security 从 Redis 中读取用户的权限信息，确定是否允许访问。

实现步骤

1. 添加依赖

在项目中添加 Spring Security 和 Redis 依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>5.7.3</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.7.3</version>
</dependency>
<dependency>
    <groupId>redis.clients</groupId>
    <artifactId>jedis</artifactId>
    <version>3.7.0</version>
</dependency>

2. 配置 Redis

在 application.yml 中配置 Redis：

spring:
    redis:
        host: localhost
        port: 6379

3. 实现 UserDetailsService

创建实现 UserDetailsService 接口的类，从 Redis 加载权限信息：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

import java.util.ArrayList;
import java.util.List;

@Service
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    private Jedis jedis;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        String key = "user:" + username;
        String permissions = jedis.get(key);
        if (permissions == null) {
            throw new UsernameNotFoundException("User not found");
        }

        List<GrantedAuthority> authorities = new ArrayList<>();
        for (String permission : permissions.split(",")) {
            authorities.add(new SimpleGrantedAuthority(permission));
        }

        return new User(username, "", authorities);
    }
}

4. 配置 Spring Security

在 Spring Security 配置类中配置 UserDetailsService：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }
}

5. 使用 @PreAuthorize

使用 @PreAuthorize 注解控制对资源的访问：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class ResourceController {

    @Autowired
    private Jedis jedis;

    @PreAuthorize("hasAuthority('ROLE_ADMIN')")
    @GetMapping("/admin")
    public String admin() {
        return "Hello, admin!";
    }

    @PreAuthorize("hasAuthority('ROLE_USER')")
    @GetMapping("/user")
    public String user() {
        return "Hello, user!";
    }

    @GetMapping("/updatePermissions")
    public String updatePermissions() {
        String key = "user:admin";
        jedis.set(key, "ROLE_USER");
        return "Permissions updated successfully!";
    }
}