Spring Security新版用法足够优雅
不久前Spring Boot 2.7.0发布了，Spring Security也升级到了5.7.1版本。升级之后我发现之前一直使用的Spring Security配置方式已被废弃，不禁感慨技术更新真快，正在用着呢就被废弃了！今天给大家演示下Spring Security的最新用法，看看是否足够优雅！
SpringBoot实战电商项目mall（50k+star）地址：github.com/macrozheng/…
先来对比下Spring Security提供的基础功能登录认证，看看新版是否更好用。
首先修改项目的pom.xml文件，将Spring Boot版本升级到2.7.0。
org.springframework.boot
spring-boot-starter-parent
2.7.0
<！-- lookup parent from repository -->
在Spring Boot 2.7.0之前的版本中，我们需要编写一个配置类继承WebSecurityConfigurerAdapter，然后重写Adapter中的三个方法进行配置；
/**
* SpringSecurity配置
* Created by macro on 2018/4/26.
*/
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class OldSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private UmsAdminService adminService；
@Override
protected void configure(HttpSecurity httpSecurity) throws Exception {
//省略HttpSecurity的配置
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService())
.passwordEncoder(passwordEncoder())；
}
@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean()；
}
}
如果在SpringBoot 2.7.0版本中使用，你会发现WebSecurityConfigurerAdapter已被废弃，看来Spring Security要坚决废弃这种用法了！
新用法
新用法非常简单，不需要继承WebSecurityConfigurerAdapter，直接声明配置类即可，配置一个方法生成SecurityFilterChainBean，将原来的HttpSecurity配置移到这个方法中。
/**
* SpringSecurity 5.4.x及以上版本的新用法配置
* 为避免循环依赖，仅用于配置HttpSecurity
* Created by macro on 2022/5/19.
*/
@Configuration
public class SecurityConfig {
@Bean
SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
//省略HttpSecurity的配置
return httpSecurity.build()；
}
}
新用法感觉非常简洁直接，避免了继承WebSecurityConfigurerAdapter和重写方法的操作。强烈建议大家更新！
升级Spring Boot 2.7.0版本后，Spring Security对配置方式进行了重大改动，那对其他用法有没有影响呢？实际上没有影响。下面来讲讲如何使用Spring Security实现动态权限控制！
先来讲讲基于方法的动态权限控制，虽然这种方式实现简单，但有一定弊端。
在配置类上使用@EnableGlobalMethodSecurity开启；
/**
* SpringSecurity配置
* Created by macro on 2018/4/26.
*/
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class OldSecurityConfig extends WebSecurityConfigurerAdapter {
}
然后在方法上使用@PreAuthorize配置访问接口所需的权限；
/**
* 商品管理控制器
* Created by macro on 2018/4/26.
*/
@Controller
@Api(tags = "PmsProductController"， description = "商品管理")
@RequestMapping("/product")
public class PmsProductController {
@Autowired
private PmsProductService productService；
@ApiOperation("创建商品")
@RequestMapping(value = "/create"， method = RequestMethod.POST)
@ResponseBody
@PreAuthorize("hasAuthority('pms：product：create')")
public CommonResult create(@RequestBody PmsProductParam productParam， BindingResult bindingResult) {
int count = productService.create(productParam)；
if (count > 0) {
return CommonResult.success(count)；
} else {
return CommonResult.failed()；
}
}
}
然后从数据库查询用户的权限值并设置到UserDetails对象中。虽然这种方式实现方便，但把权限值写在方法上并不是优雅的做法。
/**
* UmsAdminService实现类
* Created by macro on 2018/4/26.
*/
@Service
public class UmsAdminServiceImpl implements UmsAdminService {
@Override
public UserDetails loadUserByUsername(String username){
//获取用户信息
UmsAdmin admin = getAdminByUsername(username)；
if (admin ！= null) {
List permissionList = getPermissionList(admin.getId())；
return new AdminUserDetails(admin，permissionList)；
}
throw new UsernameNotFoundException("用户名或密码不正确")；
}
}
实际上每个接口对应的路径都是唯一的，通过路径来控制接口权限更加优雅。
首先，需要创建一个动态权限过滤器。注意这里的doFilter方法，用于放行OPTIONS和白名单请求，会调用super.beforeInvocation(fi)方法，该方法会调用AccessDecisionManager中的decide方法进行认证操作；
/**
* 动态权限过滤器，用于基于路径的动态权限过滤
* Created by macro on 2020/2/7.
*/
public class DynamicSecurityFilter extends AbstractSecurityInterceptor implements Filter {
@Autowired
private DynamicSecurityMetadataSource dynamicSecurityMetadataSource；
@Autowired
private IgnoreUrlsConfig ignoreUrlsConfig；
@Autowired
public void setMyAccessDecisionManager(DynamicAccessDecisionManager dynamicAccessDecisionManager) {
super.setAccessDecisionManager(dynamicAccessDecisionManager)；
}
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}
@Override
public void doFilter(ServletRequest servletRequest， ServletResponse servletResponse， FilterChain filterChain) throws IOException， ServletException {
HttpServletRequest request = (HttpServletRequest) servletRequest；
FilterInvocation fi = new FilterInvocation(servletRequest， servletResponse， filterChain)；
//OPTIONS请求直接放行
if(request.getMethod().equals(HttpMethod.OPTIONS.toString())){
fi.getChain().doFilter(fi.getRequest()， fi.getResponse())；
return；
}
//白名单请求直接放行
PathMatcher pathMatcher = new AntPathMatcher()；
for (String path ： ignoreUrlsConfig.getUrls()) {
if(pathMatcher.match(path，request.getRequestURI())){
fi.getChain().doFilter(fi.getRequest()， fi.getResponse())；
return；
}
}
//此处会调用AccessDecisionManager中的decide方法进行认证操作
InterceptorStatusToken token = super.beforeInvocation(fi)；
try {
fi.getChain().doFilter(fi.getRequest()， fi.getResponse())；
} finally {
super.afterInvocation(token， null)；
}
}
@Override
public void destroy() {
}
@Override
public Class<？> getSecureObjectClass() {
return FilterInvocation.class；
}
@Override
public SecurityMetadataSource obtainSecurityMetadataSource() {
return dynamicSecurityMetadataSource；
}
}
接下来，需要创建一个类继承AccessDecisionManager，使用decide方法将访问接口所需的权限与用户拥有的权限进行匹配，匹配成功则放行；
/**
* 动态权限决策管理器，用于判断用户是否有访问权限
* Created by macro on 2020/2/7.
*/
public class DynamicAccessDecisionManager implements AccessDecisionManager {
@Override
public void decide(Authentication authentication， Object object，
Collection configAttributes) throws AccessDeniedException， InsufficientAuthenticationException {
// 接口未配置资源时直接放行
if (CollUtil.isEmpty(configAttributes)) {
return；
}
Iterator iterator = configAttributes.iterator()；
while (iterator.hasNext()) {
ConfigAttribute configAttribute = iterator.next()；
// 对比访问所需资源与用户拥有的资源
String needAuthority = configAttribute.getAttribute()；
for (GrantedAuthority grantedAuthority ： authentication.getAuthorities()) {
if (needAuthority.trim().equals(grantedAuthority.getAuthority())) {
return；
}
}
}
throw new AccessDeniedException("抱歉，您没有访问权限")；
}
@Override
public boolean supports(ConfigAttribute configAttribute) {
return true；
}
@Override
public boolean supports(Class<？> aClass) {
return true；
}
}
由于上述decide方法中的configAttributes属性是从FilterInvocationSecurityMetadataSource的getAttributes方法获取的，我们还需要创建一个类继承它，getAttributes方法用于获取访问当前路径所需的权限值；
/**
* 动态权限数据源，用于获取动态权限规则
* Created by macro on 2020/2/7.
*/
public class DynamicSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
private static Map configAttributeMap = null；
@Autowired
private DynamicSecurityService dynamicSecurityService；
@PostConstruct
public void loadDataSource() {
configAttributeMap = dynamicSecurityService.loadDataSource()；
}
public void clearDataSource() {
configAttributeMap.clear()；
configAttributeMap = null；
}
@Override
public Collection getAttributes(Object o) throws IllegalArgumentException {
if (configAttributeMap == null) this.loadDataSource()；
List configAttributes = new ArrayList<>()；
//获取当前访问的路径
String url = ((FilterInvocation) o).getRequestUrl()；
String path = URLUtil.getPath(url)；
PathMatcher pathMatcher = new AntPathMatcher()；
Iterator iterator = configAttributeMap.keySet().iterator()；
//获取访问该路径所需的资源
while (iterator.hasNext()) {
String pattern = iterator.next()；
if (pathMatcher.match(pattern， path)) {
configAttributes.add(configAttributeMap.get(pattern))；
}
}
// 未设置操作请求权限，返回空集合
return configAttributes；
}
@Override
public Collection getAllConfigAttributes() {
return null；
}
@Override
public boolean supports(Class<？> aClass) {
return true；
}
}
需要注意的是，所有路径对应的权限值数据来自自定义的DynamicSecurityService；
/**
* 动态权限相关业务类
* Created by macro on 2020/2/7.
*/
public interface DynamicSecurityService {
/**
* 加载资源ANT通配符和资源对应MAP
*/
Map loadDataSource()；
}
万事俱备，在FilterSecurityInterceptor前添加动态权限过滤器；
/**
* SpringSecurity 5.4.x及以上版本的新用法配置
* 为避免循环依赖，仅用于配置HttpSecurity
* Created by macro on 2022/5/19.
*/
@Configuration
public class SecurityConfig {
@Autowired
private DynamicSecurityService dynamicSecurityService；
@Autowired
private DynamicSecurityFilter dynamicSecurityFilter；
@Bean
SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
//省略部分配置...
//有动态权限配置时添加动态权限校验过滤器
if(dynamicSecurityService！=null){
registry.and().addFilterBefore(dynamicSecurityFilter， FilterSecurityInterceptor.class)；
}
return httpSecurity.build()；
}
}
如果你看过这篇文章，集成SpringSecurity+JWT实现登录认证只需四步！看过的话就知道应该配置这两个Bean，一个负责获取登录用户信息，另一个负责获取存储的动态权限规则。为了适配Spring Security的新用法，我们不再继承SecurityConfig，简洁多了！
/**
* mall-security模块相关配置
* 自定义配置，用于配置如何获取用户信息和动态权限
* Created by macro on 2022/5/20.
*/
@Configuration
public class MallSecurityConfig {
@Autowired
private UmsAdminService adminService；
@Bean
public UserDetailsService userDetailsService() {
//获取登录用户信息
return username -> {
AdminUserDetails admin = adminService.getAdminByUsername(username)；
if (admin ！= null) {
return admin；
}
throw new UsernameNotFoundException("用户名或密码不正确")；
}；
}
@Bean
public DynamicSecurityService dynamicSecurityService() {
return new DynamicSecurityService() {
@Override
public Map loadDataSource() {
Map map = new ConcurrentHashMap<>()；
List resourceList = adminService.getResourceList()；
for (UmsResource resource ： resourceList) {
map.put(resource.getUrl()， new org.springframework.security.access.SecurityConfig(resource.getId() + "：" + resource.getName()))；
}
return map；
}
}；
}
}
效果测试
接下来启动示例项目mall-tiny-security，使用以下账号密码登录，该账号仅配置了访问/brand/listAll的权限，访问地址为：http：//localhost：8088/swagger-ui/
然后将返回的token放入Swagger的认证头中；
访问有权限的接口时，可以正常获取数据；
访问无权限的接口时，返回无访问权限的接口提示。
Spring Security的升级用法确实足够优雅，足够简洁，而且对之前的用法兼容性更好！个人感觉一个成熟的框架在升级过程中不会大幅改变使用方式，即使改变了也会兼容之前的用法，所以对于大多数框架来说，旧版本会用，新版本照样会用！
SpringBoot实战电商项目mall（50k+star）地址：github.com/macrozheng/…
基础用法
先来对比下Spring Security提供的基础功能登录认证，看看新版是否更好用。
升级版
首先修改项目的pom.xml文件，将Spring Boot版本升级到2.7.0。
旧用法
在Spring Boot 2.7.0之前的版本中，我们需要编写一个配置类继承WebSecurityConfigurerAdapter，然后重写Adapter中的三个方法进行配置；
/**
* SpringSecurity配置
* Created by macro on 2018/4/26.
*/
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class OldSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private UmsAdminService adminService；
@Override
protected void configure(HttpSecurity httpSecurity) throws Exception {
//省略HttpSecurity的配置
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService())
.passwordEncoder(passwordEncoder())；
}
@Bean
@Override
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean()；
}
}
如果在SpringBoot 2.7.0版本中使用，你会发现WebSecurityConfigurerAdapter已被废弃，看来Spring Security要坚决废弃这种用法了！
新用法
新用法非常简单，不需要继承WebSecurityConfigurerAdapter，直接声明配置类即可，配置一个方法生成SecurityFilterChainBean，将原来的HttpSecurity配置移到这个方法中。
/**
* SpringSecurity 5.4.x及以上版本的新用法配置
* 为避免循环依赖，仅用于配置HttpSecurity
* Created by macro on 2022/5/19.
*/
@Configuration
public class SecurityConfig {
@Bean
SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
//省略HttpSecurity的配置
return httpSecurity.build()；
}
}
新用法感觉非常简洁直接，避免了继承WebSecurityConfigurerAdapter和重写方法的操作。强烈建议大家更新！
高级用法
升级Spring Boot 2.7.0版本后，Spring Security对配置方式进行了重大改动，那对其他用法有没有影响呢？实际上没有影响。下面来讲讲如何使用Spring Security实现动态权限控制！
基于方法的动态权限
先来讲讲基于方法的动态权限控制，虽然这种方式实现简单，但有一定弊端。
在配置类上使用@EnableGlobalMethodSecurity开启；
/**
* SpringSecurity配置
* Created by macro on 2018/4/26.
*/
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class OldSecurityConfig extends WebSecurityConfigurerAdapter {
}
然后在方法上使用@PreAuthorize配置访问接口所需的权限；
/**
* 商品管理控制器
* Created by macro on 2018/4/26.
*/
@Controller
@Api(tags = "PmsProductController"， description = "商品管理")
@RequestMapping("/product")
public class PmsProductController {
@Autowired
private PmsProductService productService；
@ApiOperation("创建商品")
@RequestMapping(value = "/create"， method = RequestMethod.POST)
@ResponseBody
@PreAuthorize("hasAuthority('pms：product：create')")
public CommonResult create(@RequestBody PmsProductParam productParam， BindingResult bindingResult) {
int count = productService.create(productParam)；
if (count > 0) {
return CommonResult.success(count)；
} else {
return CommonResult.failed()；
}
}
}
然后从数据库查询用户的权限值并设置到UserDetails对象中。虽然这种方式实现方便，但把权限值写在方法上并不是优雅的做法。
/**
* UmsAdminService实现类
* Created by macro on 2018/4/26.
*/
@Service
public class UmsAdminServiceImpl implements UmsAdminService {
@Override
public UserDetails loadUserByUsername(String username){
//获取用户信息
UmsAdmin admin = getAdminByUsername(username)；
if (admin ！= null) {
List
return new AdminUserDetails(admin，permissionList)；
}
throw new UsernameNotFoundException("用户名或密码不正确")；
}
}
基于路径的动态权限
实际上每个接口对应的路径都是唯一的，通过路径来控制接口权限更加优雅。
首先，需要创建一个动态权限过滤器。注意这里的doFilter方法，用于放行OPTIONS和白名单请求，会调用super.beforeInvocation(fi)方法，该方法会调用AccessDecisionManager中的decide方法进行认证操作；
/**
* 动态权限过滤器，用于基于路径的动态权限过滤
* Created by macro on 2020/2/7.
*/
public class DynamicSecurityFilter extends AbstractSecurityInterceptor implements Filter {
@Autowired
private DynamicSecurityMetadataSource dynamicSecurityMetadataSource；
@Autowired
private IgnoreUrlsConfig ignoreUrlsConfig；
@Autowired
public void setMyAccessDecisionManager(DynamicAccessDecisionManager dynamicAccessDecisionManager) {
super.setAccessDecisionManager(dynamicAccessDecisionManager)；
}
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}
@Override
public void doFilter(ServletRequest servletRequest， ServletResponse servletResponse， FilterChain filterChain) throws IOException， ServletException {
HttpServletRequest request = (HttpServletRequest) servletRequest；
FilterInvocation fi = new FilterInvocation(servletRequest， servletResponse， filterChain)；
//OPTIONS请求直接放行
if(request.getMethod().equals(HttpMethod.OPTIONS.toString())){
fi.getChain().doFilter(fi.getRequest()， fi.getResponse())；
return；
}
//白名单请求直接放行
PathMatcher pathMatcher = new AntPathMatcher()；
for (String path ： ignoreUrlsConfig.getUrls()) {
if(pathMatcher.match(path，request.getRequestURI())){
fi.getChain().doFilter(fi.getRequest()， fi.getResponse())；
return；
}
}
//此处会调用AccessDecisionManager中的decide方法进行认证操作
InterceptorStatusToken token = super.beforeInvocation(fi)；
try {
fi.getChain().doFilter(fi.getRequest()， fi.getResponse())；
} finally {
super.afterInvocation(token， null)；
}
}
@Override
public void destroy() {
}
@Override
public Class<？> getSecureObjectClass() {
return FilterInvocation.class；
}
@Override
public SecurityMetadataSource obtainSecurityMetadataSource() {
return dynamicSecurityMetadataSource；
}
}
接下来，需要创建一个类继承AccessDecisionManager，使用decide方法将访问接口所需的权限与用户拥有的权限进行匹配，匹配成功则放行；
/**
* 动态权限决策管理器，用于判断用户是否有访问权限
* Created by macro on 2020/2/7.
*/
public class DynamicAccessDecisionManager implements AccessDecisionManager {
@Override
public void decide(Authentication authentication， Object object，
Collection
// 接口未配置资源时直接放行
if (CollUtil.isEmpty(configAttributes)) {
return；
}
Iterator
while (iterator.hasNext()) {
ConfigAttribute configAttribute = iterator.next()；
// 对比访问所需资源与用户拥有的资源
String needAuthority = configAttribute.getAttribute()；
for (GrantedAuthority grantedAuthority ： authentication.getAuthorities()) {
if (needAuthority.trim().equals(grantedAuthority.getAuthority())) {
return；
}
}
}
throw new AccessDeniedException("抱歉，您没有访问权限")；
}
@Override
public boolean supports(ConfigAttribute configAttribute) {
return true；
}
@Override
public boolean supports(Class<？> aClass) {
return true；
}
}
由于上述decide方法中的configAttributes属性是从FilterInvocationSecurityMetadataSource的getAttributes方法获取的，我们还需要创建一个类继承它，getAttributes方法用于获取访问当前路径所需的权限值；
/**
* 动态权限数据源，用于获取动态权限规则
* Created by macro on 2020/2/7.
*/
public class DynamicSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
private static Map
@Autowired
private DynamicSecurityService dynamicSecurityService；
@PostConstruct
public void loadDataSource() {
configAttributeMap = dynamicSecurityService.loadDataSource()；
}
public void clearDataSource() {
configAttributeMap.clear()；
configAttributeMap = null；
}
@Override
public Collection
if (configAttributeMap == null) this.loadDataSource()；
List
//获取当前访问的路径
String url = ((FilterInvocation) o).getRequestUrl()；
String path = URLUtil.getPath(url)；
PathMatcher pathMatcher = new AntPathMatcher()；
Iterator
//获取访问该路径所需的资源
while (iterator.hasNext()) {
String pattern = iterator.next()；
if (pathMatcher.match(pattern， path)) {
configAttributes.add(configAttributeMap.get(pattern))；
}
}
// 未设置操作请求权限，返回空集合
return configAttributes；
}
@Override
public Collection
return null；
}
@Override
public boolean supports(Class<？> aClass) {
return true；
}
}
需要注意的是，所有路径对应的权限值数据来自自定义的DynamicSecurityService；
/**
* 动态权限相关业务类
* Created by macro on 2020/2/7.
*/
public interface DynamicSecurityService {
/**
* 加载资源ANT通配符和资源对应MAP
*/
Map
}
万事俱备，在FilterSecurityInterceptor前添加动态权限过滤器；
/**
* SpringSecurity 5.4.x及以上版本的新用法配置
* 为避免循环依赖，仅用于配置HttpSecurity
* Created by macro on 2022/5/19.
*/
@Configuration
public class SecurityConfig {
@Autowired
private DynamicSecurityService dynamicSecurityService；
@Autowired
private DynamicSecurityFilter dynamicSecurityFilter；
@Bean
SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
//省略部分配置...
//有动态权限配置时添加动态权限校验过滤器
if(dynamicSecurityService！=null){
registry.and().addFilterBefore(dynamicSecurityFilter， FilterSecurityInterceptor.class)；
}
return httpSecurity.build()；
}
}
如果你看过这篇文章，集成SpringSecurity+JWT实现登录认证只需四步！看过的话就知道应该配置这两个Bean，一个负责获取登录用户信息，另一个负责获取存储的动态权限规则。为了适配Spring Security的新用法，我们不再继承SecurityConfig，简洁多了！
/**
* mall-security模块相关配置
* 自定义配置，用于配置如何获取用户信息和动态权限
* Created by macro on 2022/5/20.
*/
@Configuration
public class MallSecurityConfig {
@Autowired
private UmsAdminService adminService；
@Bean
public UserDetailsService userDetailsService() {
//获取登录用户信息
return username -> {
AdminUserDetails admin = adminService.getAdminByUsername(username)；
if (admin ！= null) {
return admin；
}
throw new UsernameNotFoundException("用户名或密码不正确")；
}；
}
@Bean
public DynamicSecurityService dynamicSecurityService() {
return new DynamicSecurityService() {
@Override
public Map
Map
List
for (UmsResource resource ： resourceList) {
map.put(resource.getUrl()， new org.springframework.security.access.SecurityConfig(resource.getId() + "：" + resource.getName()))；
}
return map；
}
}；
}
}
效果测试
接下来启动示例项目mall-tiny-security，使用以下账号密码登录，该账号仅配置了访问/brand/listAll的权限，访问地址为：http：//localhost：8088/swagger-ui/
然后将返回的token放入Swagger的认证头中；
访问有权限的接口时，可以正常获取数据；
访问无权限的接口时，返回无访问权限的接口提示。
总结
Spring Security的升级用法确实足够优雅，足够简洁，而且对之前的用法兼容性更好！个人感觉一个成熟的框架在升级过程中不会大幅改变使用方式，即使改变了也会兼容之前的用法，所以对于大多数框架来说，旧版本会用，新版本照样会用！
