Java SSM 项目实战 day08 方法级别的权限操作 服务器端的权限控制（JSR-250注解）（支持表达式的注解）（@Secured

<%@ page language=“java” contentType=“text/html; charset=UTF-8”

pageEncoding=“UTF-8”%>

权限不足

@Secured注解标注的方法进行权限控制的支持，其值默认为disabled。

示例：

@Secured(“IS_AUTHENTICATED_ANONYMOUSLY”)

public Account readAccount(Long id);

@Secured(“ROLE_TELLER”)

a、先让james登录

发现权限不足

a、后让tom登录：tom拥有ADMIN权限

依旧权限不足

为啥要这样因为

在这里配置权限拦截规则的时候是这样盘配置的

在使用JSR250的注解的时候，可以省略ROLE_前缀

而我们现在使用的@Secured注解是不能省略前缀的

a、tom登录

b、james登录

@PreAuthorize 在方法调用之前,基于表达式的计算结果来限制对方法的访问

示例：

@PreAuthorize(“#userId == authentication.principal.userId or hasAuthority(‘ADMIN’)”)

void changePassword(@ P(“userId”) long userId ){

}

这里表示在changePassword方法执行之前，

判断方法参数userId的值是否等于principal中保存的当前用户的userId

或者当前用户是否具有ROLE_ADMIN权限，两种符合其一，就可以访问该方法。

@PostAuthorize 允许方法调用,但是如果表达式计算结果为false,将抛出一个安全性异常

示例：

@PostAuthorize

User getUser(“returnObject.userId == authentication.principal.userId orhasPermission(returnObject, ‘ADMIN’)”);

@PostFilter 允许方法调用,但必须按照表达式来过滤方法的结果

@PreFilter 允许方法调用,但必须在进入方法之前过滤输入值

<security:global-method-security pre-post-annotations=“enabled” jsr250-annotations=“enabled” secured-annotations=“enabled” >

</security:global-method-security>

指定只有tom用户可以执行save操作

只有ADMIN用户可以执行findAll方法

//用户添加

@RequestMapping(“/save.do”)

@PreAuthorize("authentication.principal.username == ‘tom’ ")

public String save(UserInfo userInfo) throws Exception {

userService.save(userInfo);

return “redirect:findAll.do”;

}

@RequestMapping(“/findAll.do”)

@PreAuthorize(“hasRole(‘ROLE_ADMIN’)”)

public ModelAndView findAll() throws Exception {

ModelAndView mv = new ModelAndView();

List userList = userService.findAll();

mv.addObject(“userList”, userList);

mv.setViewName(“user-list”);

return mv;

}

fox1用户登录。fox1拥有ADMIN角色

点击新建用户

点击保存，发现权限不足，因为在上面设置了只有tom用户才可以添加用户

切换到tom用户

保存成功

org.springframework.security

spring-security-taglibs

${spring.security.version}

<%@taglib uri=“http://www.springframework.org/security/tags” prefix=“security”%>

<security:authentication property=“principal.username”></security:authentication>

<%@taglib uri=“http://www.springframework.org/security/tags” prefix=“security”%>

<security:authentication property=“principal.username”></security:authentication>

<security:authorize access=“hasRole(‘ADMIN’)” >