慢来比较快，虚心学技术
前一篇文章中，我们通过使用@Secured和@RolesAllowed两个注解实现了简单有效的基于角色的方法权限控制，但是有时候，我们并不是单纯的针对角色身份进行限制就可以的，还需要使用某些逻辑进行限制，所以Spring Security提供了四个注解帮助我们更细粒地去控制方法访问地权限，这些注解地参数都是SPEL表达式
使用这几个注解之前，我们需要先将@EnableGlobalMethodSecurity()的prePostEnabled属性设置为true，如同前述，也可以同时使用securedEnabled和jsr250Enabled
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
}
首先测试使用addUser接口
@Override
public User addUser(User user) {
System.out.println("添加用户");
return this.baseDao.save(user);
}
使用dba登录，访问/user/userForm,访问用户信息填写页面
提交表单，返回调用成功
- 使用@PreAuthorize实现方法前校验，此处我们使用SPEL表达式限定addUser方法必须在访问者具备ROLE_ADMIN身份，且传入参数user的age属性值必须大于50的情况下才可以访问
@Override
@PreAuthorize("hasRole('ROLE_ADMIN') AND #user.age>50")
public User addUser(User user) {
System.out.println("添加用户");
return this.baseDao.save(user);
}
首先使用dba用户进行访问，访问受限
再使用admin进行访问，参数正确，允许访问：
填写错误参数，年龄age填写为40，访问受限：
控制成功
- 使用@PostAuthorize实现方法后校验,为了方便校验，Spring Security在SPEL中提供了returnObject代表方法返回对象，此处我们限制仅当方法返回的结果的userName属性为“admin”时才可以放行
@Override
@PostAuthorize("returnObject.userName=='admin'")
public User addUser(User user) {
System.out.println("添加用户");
return this.baseDao.save(user);
}
首先提交userName为dba的用户，访问受限
提交userName为admin的用户，允许访问
- 使用@PreFilter 和@PostFilter注解实现数据在执行方法前及执行方法后集合的过滤，Spring Scurity提供了filterObject对象指代目标拦截对象，在@PreFilter中使用时，其代表传入列表参数，当传入参数中存在多个列表时，我们可以使用filterTarget属性指定需要过滤的目标参数的名称；当在@PostFilter中使用时，其代表返回列表.
@Override
@PostFilter(value="filterObject.userName!=principal.username")//限制返回的列表中，只允许返回和当前登陆用户名不同的user，即允许获取非当前用户
public List<User> getList() {
List<User> users = new ArrayList<>();
User user1 = new User("admin","123456",50);
User user2 = new User("dba","123456",51);
User user3 = new User("common","123456",52);
users.add(user1);
users.add(user2);
users.add(user3);
return users;
}
@Override
@PreFilter(filterTarget="users",value="filterObject.userName==principal.username")//限制进入方法的列表中，只能允许和当前登陆用户名一致的user传入，即只允许删除当前用户
public List<User> deleteList(List<User> users) {
return users;
}
编写controller
@RequestMapping(value = {"/user/deleteUsers"})
public ModelAndView deleteUsers(){
ModelAndView model = new ModelAndView();
List<User> users = new ArrayList<>();
User user1 = new User("admin","123456",50);
User user2 = new User("dba","123456",50);
User user3 = new User("common","123456",50);
users.add(user1);
users.add(user2);
users.add(user3);
List<User> targetList = this.baseService.deleteList(users);
model.addObject("message","您删除的用户：");
model.addObject("users",targetList);
model.setViewName("showUserList");
return model;
}
@RequestMapping(value = {"/user/getUsers"})
public ModelAndView getUsers(){
ModelAndView model = new ModelAndView();
List<User> users = this.baseService.getList();
model.addObject("message","您获取到的用户");
model.addObject("users",users);
model.setViewName("showUserList");
return model;
}
编写视图：showUserList.jsp
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ page isELIgnored="false" %>
<html>
<head>
<title>用户信息列表</title>
</head>
<body>
<h2>${message}</h2>
<table style="border:1px solid orangered;">
<tr>
<th>用户名</th>
<th>用户密码</th>
<th>用户年龄</th>
</tr>
<c:forEach items="${users}" var="user">
<tr>
<td style="font-size: large">${user.userName}</td>
<td style="font-size: large">${user.password}</td>
<td style="font-size: large">${user.age}</td>
</tr>
</c:forEach>
</table>
</body>
</html>
使用admin访问/user/getUsers,结果获取到非admin用户信息
使用dba访问/user/getUsers,结果获取到非dba用户信息
使用admin访问/user/deleteUsers，结果仅删除了自身
