security权限管理详解

一、授权流程

用户登录成功后会将用户信息保存在Authencation对象中，Authencation接口中有一个getAuthorities()方法返回的是用户的权限

Collection<? extends GrantedAuthority> getAuthorities();

现有系统可以基于角色做权限管理也可以使用资源（权限字符串）做权限管理，这里的GrantedAuthority是角色还是资源呢？

• 如果 业务是基于角色做的权限管理，即用户->角色->资源，那么返回的是用户的角色
• 如果业务是基于资源（权限）做的权限管理，即用户->权限->资源，返回的是用户的权限
• 如果基于角色+权限做的权限管理，即用户->角色->权限->资源，返回的是用户的权限

security在角色和权限的处理方式上基本一样的，唯一区别就是很多时候会自动给角色增加一个ROLE_前缀，而权限不会添加

 

二、权限管理策略

1、基于URL做权限管理（过滤器技术实现）

@Configuration
public class SecurityConfig extends WebSecurityConfig