Spring Security方法级别授权使用介绍
1.简介
简而言之,Spring Security支持方法级别的授权语义。
通常,我们可以通过限制哪些角色能够执行特定方法来保护我们的服务层 - 并使用专用的方法级安全测试支持对其进行测试。
在本文中,我们将首先回顾一些安全注释的使用。然后,我们将专注于使用不同的策略测试我们的方法安全性。
2.启用方法级别的安全授权配置
首先,要使用Spring Method Security,我们需要添加spring-security-config依赖项:
<dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> </dependency>
如果我们想使用Spring Boot,我们可以使用包含spring-security-config的spring-boot-starter-security依赖项:
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency>
接下来,我们需要启用全局方法级别授权安全性:
@Configuration @EnableGlobalMethodSecurity( prePostEnabled = true, securedEnabled = true, jsr250Enabled = true) public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration { }
- prePostEnabled属性启用Spring Security前/后注释
- securedEnabled属性确定是否应启用@Secured注释
- jsr250Enabled属性允许我们使用@RoleAllowed注释
我们将在下一节中详细探讨这些注释。
3.应用方法级别安全性
3.1。使用@Secured Annotation
@Secured注释用于指定方法上的角色列表。因此,如果用户至少具有一个指定的角色,则用户能访问该方法。
我们定义一个getUsername方法:
@Secured("ROLE_VIEWER") public String getUsername() { SecurityContext securityContext = SecurityContextHolder.getContext(); return securityContext.getAuthentication().getName(); }
这里,@ Secure(“ROLE_VIEWER”)注释定义只有具有ROLE_VIEWER角色的用户才能执行getUsername方法。
此外,我们可以在@Secured注释中定义角色列表:
@Secured({ "ROLE_VIEWER", "ROLE_EDITOR" }) public boolean isValidUsername(String username) { return userRoleRepository.isValidUsername(username); }
在这种情况下,配置指出如果用户具有ROLE_VIEWER或ROLE_EDITOR,则该用户可以调用isValidUsername方法。
@Secured注释不支持Spring Expression Language(SpEL)。
3.2。使用@RoleAllowed注释
@RoleAllowed注释是JSR-250对@Secured注释的等效注释。
基本上,我们可以像@Secured一样使用@RoleAllowed注释。因此,我们可以重新定义getUsername和isValidUsername方法:
@RolesAllowed("ROLE_VIEWER") public String getUsername2() { //... } @RolesAllowed({ "ROLE_VIEWER", "ROLE_EDITOR" }) public boolean isValidUsername2(String username) { //... }
同样,只有具有角色ROLE_VIEWER的用户才能执行getUsername2。
同样,只有当用户至少具有ROLE_VIEWER或ROLER_EDITOR角色之一时,用户才能调用isValidUsername2。
3.3。使用@PreAuthorize和@PostAuthorize注释
@PreAuthorize和@PostAuthorize注释都提供基于表达式的访问控制。因此,可以使用SpEL(Spring Expression Language)编写。
@PreAuthorize注释在进入方法之前检查给定的表达式,而@PostAuthorize注释在执行方法后验证它并且可能改变结果。
现在,让我们声明一个getUsernameInUpperCase方法,如下所示:
@PreAuthorize("hasRole('ROLE_VIEWER')") public String getUsernameInUpperCase() { return getUsername().toUpperCase(); }
@PreAuthorize(“hasRole('ROLE_VIEWER')”)与我们在上一节中使用的@Secured(“ROLE_VIEWER”)具有相同的含义。您可以在以前的文章中发现更多安全表达式详细信息。
因此,注释@Secured({“ROLE_VIEWER”,“ROLE_EDITOR”})可以替换为@PreAuthorize(“hasRole('ROLE_VIEWER')或hasRole('ROLE_EDITOR')”):
@PreAuthorize("hasRole('ROLE_VIEWER') or hasRole('ROLE_EDITOR')") public boolean isValidUsername3(String username) { //... }
而且,我们实际上可以使用method参数作为表达式的一部分:
@PreAuthorize("#username == authentication.principal.username") public String getMyRoles(String username) { //... }
这里,只有当参数username的值与当前主体的用户名相同时,用户才能调用getMyRoles方法。
值得注意的是,@ PreAuthorize表达式可以替换为@PostAuthorize表达式。
让我们重写getMyRoles:
@PostAuthorize("#username == authentication.principal.username") public String getMyRoles2(String username) { //... }
但是,在上一个示例中,授权将在执行目标方法后延迟。
此外,@ PostAuthorize注释提供了访问方法结果的能力:
@PostAuthorize ("returnObject.username == authentication.principal.nickName") public CustomUser loadUserDetail(String username) { return userRoleRepository.loadUserByUserName(username); }
在此示例中,如果返回的CustomUser的用户名等于当前身份验证主体的昵称,则loadUserDetail方法会成功执行。
3.4。使用@PreFilter和@PostFilter注释
Spring Security提供了@PreFilter注释来在执行方法之前过滤集合参数:
@PreFilter("filterObject != authentication.principal.username") public String joinUsernames(List<String> usernames) { return usernames.stream().collect(Collectors.joining(";")); }
在此示例中,我们将过滤除经过身份验证的用户名以外的所有用户名。
这里,我们的表达式使用名称filterObject来表示集合中的当前对象。
但是,如果该方法有多个参数是集合类型,我们需要使用filterTarget属性来指定我们要过滤的参数:
@PreFilter (value = "filterObject != authentication.principal.username", filterTarget = "usernames") public String joinUsernamesAndRoles( List<String> usernames, List<String> roles) { return usernames.stream().collect(Collectors.joining(";")) + ":" + roles.stream().collect(Collectors.joining(";")); }
此外,我们还可以使用@PostFilter注释过滤返回的方法集合:
@PostFilter("filterObject != authentication.principal.username") public List<String> getAllUsernamesExceptCurrent() { return userRoleRepository.getAllUsernames(); }
在这种情况下,名称filterObject引用返回集合中的当前对象。
使用该配置,Spring Security将遍历返回的列表并删除与主体用户名匹配的任何值。
3.5。Method Security元注释
我们发现经常有使用相同安全配置保护不同方法的情况。
在这种情况下,我们可以定义一个Security元注释:
@Target(ElementType.METHOD) @Retention(RetentionPolicy.RUNTIME) @PreAuthorize("hasRole('VIEWER')") public @interface IsViewer { }
接下来,我们可以直接使用@IsViewer注释来保护我们的方法:
Security元注释是一个好主意,因为它们添加了更多语义并将我们的业务逻辑与安全框架分离。
3.6。类级别Security注释
如果我们发现对一个类中的每个方法使用相同的Security注释,我们可以考虑将该注释放在类级别:
@Service @PreAuthorize("hasRole('ROLE_ADMIN')") public class SystemService { public String getSystemYear(){ //... } public String getSystemDate(){ //... } }
在上面的示例中,安全规则hasRole('ROLE_ADMIN')将应用于getSystemYear和getSystemDate方法。
3.7。方法上有的多重Security注释
我们还可以在一个方法上使用多个Security注释:
@PreAuthorize("#username == authentication.principal.username") @PostAuthorize("returnObject.username == authentication.principal.nickName") public CustomUser securedLoadUserDetail(String username) { return userRoleRepository.loadUserByUserName(username); }
因此,Spring将在执行securedLoadUserDetail方法之前和之后验证授权。
4.重要考虑因素
我们想提醒两点方法Security:
- 默认情况下,Spring AOP代理用于应用方法安全性 - 如果安全方法A由同一类中的另一个方法调用,则A中的安全性将被完全忽略。这意味着方法A将在没有任何安全检查的情况下执行,这同样适用于私有方法
- Spring SecurityContext是线程绑定的 - 默认情况下,安全上下文不会传播到子线程
5.测试方法Security
5.1。配置
要使用JUnit测试Spring Security,我们需要spring-security-test依赖项:
<dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-test</artifactId> </dependency>
我们不需要指定依赖版本,因为我们使用的是Spring Boot插件。
接下来,让我们通过指定runner和ApplicationContext配置来配置一个简单的Spring Integration测试:
@RunWith(SpringRunner.class) @ContextConfiguration public class TestMethodSecurity { // ... }
5.2。测试用户名和角色
现在我们的配置准备好了,让我们尝试测试我的getUsername方法,该方法由注释@Secured(“ROLE_VIEWER”)保护:
@Secured("ROLE_VIEWER") public String getUsername() { SecurityContext securityContext = SecurityContextHolder.getContext(); return securityContext.getAuthentication().getName(); }
由于我们在这里使用@Secured注释,因此需要对用户进行身份验证以调用该方法。否则,我们将获得AuthenticationCredentialsNotFoundException。
因此,我们需要为用户提供测试我们的安全方法。为此,我们使用@WithMockUser修饰测试方法并提供用户和角色:
@Test @WithMockUser(username = "john", roles = { "VIEWER" }) public void givenRoleViewer_whenCallGetUsername_thenReturnUsername() { String userName = userRoleService.getUsername(); assertEquals("john", userName); }
我们提供了一个经过身份验证的用户,其用户名是john,其角色是ROLE_VIEWER。如果我们不指定用户名或角色,则默认用户名为user,默认角色为ROLE_USER。
请注意,此处不必添加ROLE_前缀,Spring Security将自动添加该前缀。
如果我们不想拥有该前缀,我们可以考虑使用权限而不是角色。
例如,让我们声明一个getUsernameInLowerCase方法:
@PreAuthorize("hasAuthority('SYS_ADMIN')") public String getUsernameLC(){ return getUsername().toLowerCase(); }
我们可以使用权限测试:
@Test @WithMockUser(username = "JOHN", authorities = { "SYS_ADMIN" }) public void givenAuthoritySysAdmin_whenCallGetUsernameLC_thenReturnUsername() { String username = userRoleService.getUsernameInLowerCase(); assertEquals("john", username); }
如果我们想在许多测试用例中使用相同的用户,我们可以在测试类中声明@WithMockUser注释:
@RunWith(SpringRunner.class) @ContextConfiguration @WithMockUser(username = "john", roles = { "VIEWER" }) public class TestWithMockUserAtClassLevel { //... }
如果我们想以匿名用户身份运行我们的测试,我们可以使用@WithAnonymousUser注释:
@Test(expected = AccessDeniedException.class) @WithAnonymousUser public void givenAnomynousUser_whenCallGetUsername_thenAccessDenied() { userRoleService.getUsername(); }
在上面的示例中,我们期望AccessDeniedException,因为匿名用户未被授予角色ROLE_VIEWER或权限SYS_ADMIN。
5.3。使用Custom UserDetailsService进行测试
对于大多数应用程序,通常使用自定义类作为身份验证主体。在这种情况下,自定义类需要实现org.springframework.security.core.userdetails.UserDetails接口。
在本文中,我们声明了一个CustomUser类,它扩展了UserDetails的现有实现,即org.springframework.security.core.userdetails.User:
public class CustomUser extends User { private String nickName; // getter and setter }
让我们在第3节中使用@PostAuthorize注释取回示例:
@PostAuthorize("returnObject.username == authentication.principal.nickName") public CustomUser loadUserDetail(String username) { return userRoleRepository.loadUserByUserName(username); }
在这种情况下,只有返回的CustomUser的用户名等于当前身份验证主体的昵称时,该方法才会成功执行。
如果我们想测试该方法,我们可以提供UserDetailsService的实现,它可以根据用户名加载我们的CustomUser:
@Test @WithUserDetails( value = "john", userDetailsServiceBeanName = "userDetailService") public void whenJohn_callLoadUserDetail_thenOK() { CustomUser user = userService.loadUserDetail("jane"); assertEquals("jane", user.getNickName()); }
这里,@ WithUserDetails注释声明我们将使用UserDetailsService来初始化我们经过身份验证的用户。该服务由userDetailsServiceBeanName属性引用。这个UserDetailsService可能是一个真正的实现,或者用于测试目的。
此外,该服务将使用属性值的值作为加载UserDetails的用户名。
方便的是,我们也可以在类级别使用@WithUserDetails注释进行修饰,类似于我们对@WithMockUser注释所做的操作。
5.4。使用Meta注释进行测试
我们经常发现自己在各种测试中一遍又一遍地重复使用相同的用户/角色。
对于这些情况,创建元注释很方便。
修改前面的示例@WithMockUser(username =“john”,roles = {“VIEWER”}),我们可以将元注释声明为:
@Retention(RetentionPolicy.RUNTIME) @WithMockUser(value = "john", roles = "VIEWER") public @interface WithMockJohnViewer { }
然后我们可以在测试中简单地使用@WithMockJohnViewer:
@Test @WithMockJohnViewer public void givenMockedJohnViewer_whenCallGetUsername_thenReturnUsername() { String userName = userRoleService.getUsername(); assertEquals("john", userName); }
同样,我们可以使用元注释来使用@WithUserDetails创建特定于域的用户。
六,结论
在本教程中,我们探讨了在Spring Security中使用Method Security的各种选项。
我们还经历了一些技术来轻松测试方法安全性,并学习如何在不同的测试中重用模拟用户。
可以在Github上找到本教程的所有示例。
- linux 启动项管理,运行级别介绍、chkconfig管理工具使用方法、linux系统启动项说明
- jar的使用方法介绍
- websharp的使用方法(1)介绍
- 【ABAP】LSMW使用IDoc方法的简单介绍
- linux file.src.rpm 使用方法的简单介绍
- Freetextbox使用方法介绍
- 递归算法在javascript中使用的小技巧 (javascript的对象封装方法介绍)
- Sql Server数据库事务介绍(二)---Sql语句,SqlTransaction和TransactionScope的使用方法
- 迭代器的使用方法简要介绍(摘自C++Primer)
- "在应用程序级别之外使用注册为 allowDefinition='MachineToApplication' 的节是错误的。如果在 IIS 中没有将虚拟目录配置为应用程序,则可能导致此错误"的解决方法
- 递归算法在javascript中使用的小技巧 (javascript的对象封装方法介绍)
- 递归算法在javascript中使用的小技巧 (javascript的对象封装方法介绍)
- String.format函数使用方法介绍(2)
- nunit使用方法:单元测试软件SoftwareNUNIT使用介绍说明
- String.format函数使用方法介绍
- 迭代器的使用方法简要介绍(摘自C++Primer)
- Linux编辑器vi使用方法详细介绍
- Linux下的Grep命令使用方法详细介绍
- C#开发里List控件的使用方法介绍
- 递归算法在javascript中使用的小技巧 (javascript的对象封装方法介绍)