好的，各位朋友，欢迎来到今天的“Spring Security Method Security：方法级别安全，保卫你的代码城池！”讲座现场。我是你们的老朋友，程序界的段子手，今天就带大家一起，用幽默风趣的语言，深入浅出地聊聊Spring Security中这个既重要又略显神秘的家伙——方法级别安全。
前言：代码世界里的“金钟罩”
想象一下，你的代码是一座美丽的城堡🏰，里面住着各种珍贵的数据和功能。如果你不加以保护，坏人们（黑客，恶意用户等等）随时可能破门而入，盗取你的宝藏，甚至篡改你的代码，让你的城堡变成废墟。
Spring Security就像这座城堡的守卫者，它负责验证用户的身份，确认他们是否有权限进入城堡的各个区域。而方法级别安全，就是守卫城堡内部各个房间的金钟罩，它能精确地控制用户是否有权限执行某个特定的方法，就像控制用户是否能进入某个特定的房间一样。
第一章：认识方法级别安全——“小身材，大能量”
方法级别安全，顾名思义，就是把安全控制精确到方法的层面。它允许你对每个方法设置不同的访问权限，从而实现更细粒度的安全控制。
1.1 为什么需要方法级别安全？
你可能会问，我已经有了基于URL的权限控制，为什么还需要方法级别安全呢？
举个例子：
- 场景一：修改用户信息。 用户A只能修改自己的信息，不能修改其他用户的信息。基于URL的权限控制可能只能限制用户访问“/user/{id}”这个URL，但无法区分用户A是否有权限修改ID为123的用户的信息。
- 场景二：管理员权限。 只有管理员才能删除用户，普通用户不能删除。基于URL的权限控制可能只能限制用户访问“/user/{id}/delete”这个URL，但无法区分当前用户是否是管理员。
- 场景三：业务逻辑复杂。 某些业务逻辑的权限判断非常复杂，无法简单地通过URL进行判断。比如，只有某个订单的创建者或者管理员才能取消这个订单。
这些场景都说明，仅仅依靠基于URL的权限控制是不够的。我们需要一种更精细的控制机制，能够根据方法的参数、返回值、甚至方法的执行上下文来判断用户的权限。这就是方法级别安全存在的意义。
1.2 方法级别安全的实现方式
Spring Security提供了多种方式来实现方法级别安全，主要有以下几种：
- 基于注解（Annotation-based）： 使用
@PreAuthorize、@PostAuthorize、@Secured等注解，在方法上声明访问权限。这是最常用，也是最灵活的方式。 - 基于表达式（Expression-based）： 使用SpEL（Spring Expression Language）表达式，可以编写更复杂的权限判断逻辑。
- 基于AOP（Aspect-Oriented Programming）： 通过AOP拦截方法调用，并在方法执行前后进行权限检查。这种方式比较灵活，但配置也比较复杂。
表格1：方法级别安全实现方式对比
| 实现方式 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 基于注解 | 简单易用，配置方便 代码可读性高 * 与业务代码紧密结合，方便维护 | * 需要在每个方法上添加注解，可能会比较繁琐 | * 适用于大多数场景，特别是需要对单个方法进行细粒度权限控制的场景 |
| 基于表达式 | 可以编写更复杂的权限判断逻辑 可以访问方法的参数、返回值、甚至方法的执行上下文 | SpEL表达式的学习成本较高 表达式编写不当可能会导致安全漏洞 | * 适用于需要编写复杂权限判断逻辑的场景，例如需要根据方法的参数进行权限判断的场景 |
| 基于AOP | 可以统一管理权限控制逻辑 可以对第三方库的方法进行权限控制 | 配置比较复杂 可能会影响性能 | * 适用于需要对大量方法进行统一权限控制的场景，或者需要对第三方库的方法进行权限控制的场景 |
第二章：注解的魔法——“一键施法，权限加身”
在Spring Security的世界里，注解就像魔法咒语，能够轻松地给方法赋予不同的权限。下面我们来学习几个常用的注解：
2.1 @PreAuthorize：方法执行前进行权限检查
@PreAuthorize注解用于在方法执行前进行权限检查。只有当表达式的值为true时，方法才能被执行。
例子：
@Service
public class UserService {
@PreAuthorize("hasRole('ADMIN')")
public void deleteUser(Long userId) {
// 只有管理员才能删除用户
System.out.println("删除用户：" + userId);
}
@PreAuthorize("#username == authentication.name or hasRole('ADMIN')")
public void updateUserInfo(String username, UserInfo userInfo) {
// 只有用户本人或者管理员才能修改用户信息
System.out.println("修改用户信息：" + username);
}
}hasRole('ADMIN')：判断当前用户是否拥有ADMIN角色。#username == authentication.name：判断方法的参数username是否等于当前登录用户的用户名。authentication.name表示当前登录用户的用户名。or：逻辑或运算符。
2.2 @PostAuthorize：方法执行后进行权限检查
@PostAuthorize注解用于在方法执行后进行权限检查。只有当表达式的值为true时，方法才能返回。
例子：
@Service
public class ProductService {
@PostAuthorize("returnObject.owner == authentication.name or hasRole('ADMIN')")
public Product getProduct(Long productId) {
// 获取产品信息
Product product = productRepository.findById(productId).orElse(null);
return product;
}
}returnObject.owner == authentication.name：判断返回的Product对象的owner属性是否等于当前登录用户的用户名。returnObject表示方法的返回值。
2.3 @Secured：基于角色的权限检查
@Secured注解用于基于角色的权限检查。只有当用户拥有指定的角色时，方法才能被执行。
例子：
@Service
public class OrderService {
@Secured("ROLE_USER")
public void createOrder(Order order) {
// 只有用户才能创建订单
System.out.println("创建订单：" + order);
}
}ROLE_USER：表示用户角色。注意，@Secured注解需要启用@EnableGlobalMethodSecurity(securedEnabled = true)。
2.4 @RolesAllowed：JSR-250标准注解
@RolesAllowed注解是JSR-250标准注解，用于基于角色的权限检查。与@Secured注解类似，但不需要添加ROLE_前缀。
例子：
@Service
public class CommentService {
@RolesAllowed("ADMIN")
public void deleteComment(Long commentId) {
// 只有管理员才能删除评论
System.out.println("删除评论：" + commentId);
}
}ADMIN：表示管理员角色。注意，@RolesAllowed注解需要启用@EnableGlobalMethodSecurity(jsr250Enabled = true)。
表格2：权限注解对比
| 注解 | 功能 | 表达式支持 | 是否需要启用 |
|---|---|---|---|
@PreAuthorize |
在方法执行前进行权限检查，可以编写复杂的SpEL表达式进行权限判断。 | 支持 | 是 |
@PostAuthorize |
在方法执行后进行权限检查，可以访问方法的返回值，并编写复杂的SpEL表达式进行权限判断。 | 支持 | 是 |
@Secured |
基于角色的权限检查，只能判断用户是否拥有指定的角色。 | 不支持 | securedEnabled = true |
@RolesAllowed |
基于角色的权限检查，与@Secured注解类似，但不需要添加ROLE_前缀。 |
不支持 | jsr250Enabled = true |
第三章：表达式的艺术——“运筹帷幄，决胜千里”
SpEL表达式是Spring Expression Language的缩写，它是一种强大的表达式语言，可以用来访问对象的属性、调用方法、执行算术运算等等。在方法级别安全中，我们可以使用SpEL表达式来编写更复杂的权限判断逻辑。
3.1 常用的SpEL表达式
authentication：表示当前用户的Authentication对象，可以访问用户的用户名、角色等信息。principal：表示当前用户的Principal对象，通常是UserDetails对象。hasRole(role)：判断当前用户是否拥有指定的角色。hasAnyRole(role1, role2, ...)：判断当前用户是否拥有指定的任意一个角色。hasAuthority(authority)：判断当前用户是否拥有指定的权限。hasAnyAuthority(authority1, authority2, ...)：判断当前用户是否拥有指定的任意一个权限。permitAll()：允许所有用户访问。denyAll()：拒绝所有用户访问。isAnonymous()：判断当前用户是否是匿名用户。isRememberMe()：判断当前用户是否是通过Remember-Me功能登录的。isAuthenticated()：判断当前用户是否已经认证。isFullyAuthenticated()：判断当前用户是否已经完全认证（不是匿名用户或Remember-Me用户）。#参数名：访问方法的参数。returnObject：访问方法的返回值。
3.2 SpEL表达式的应用场景
- 根据用户ID进行权限判断
@PreAuthorize("#userId == authentication.principal.id or hasRole('ADMIN')")
public void deleteUser(Long userId) {
// 只有用户本人或者管理员才能删除用户
System.out.println("删除用户：" + userId);
}- 根据订单状态进行权限判断
@PreAuthorize("#order.status == 'PENDING' and hasRole('ADMIN')")
public void cancelOrder(Order order) {
// 只有管理员才能取消待处理的订单
System.out.println("取消订单：" + order);
}- 根据返回值进行权限判断
@PostAuthorize("returnObject.price < 100 or hasRole('ADMIN')")
public Product getProduct(Long productId) {
// 获取产品信息
Product product = productRepository.findById(productId).orElse(null);
return product;
}第四章：AOP的加持——“无孔不入，全面保护”
AOP（Aspect-Oriented Programming）是一种编程范式，它允许我们将横切关注点（cross-cutting concerns）从核心业务逻辑中分离出来。在方法级别安全中，我们可以使用AOP来拦截方法调用，并在方法执行前后进行权限检查。
4.1 AOP的实现方式
Spring AOP提供了两种实现方式：
- 基于JDK动态代理： 只能代理实现了接口的类。
- 基于CGLIB： 可以代理没有实现接口的类。
4.2 AOP的应用场景
- 对第三方库的方法进行权限控制： 如果我们需要对第三方库的方法进行权限控制，但又无法修改第三方库的代码，可以使用AOP来实现。
- 统一管理权限控制逻辑： 如果我们需要对大量方法进行统一的权限控制，可以使用AOP来将权限控制逻辑集中管理。
4.3 AOP的配置步骤
- 定义切面（Aspect）： 切面是一个包含通知（Advice）的类，通知定义了在何时何地执行什么操作。
@Aspect
@Component
public class MethodSecurityAspect {
@Before("@annotation(secured)")
public void before(JoinPoint joinPoint, Secured secured) {
// 获取当前用户的权限信息
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
// 进行权限检查
String[] roles = secured.value();
boolean hasPermission = Arrays.stream(roles).anyMatch(role -> authentication.getAuthorities().stream().anyMatch(authority -> authority.getAuthority().equals(role)));
if (!hasPermission) {
throw new AccessDeniedException("Access denied!");
}
}
}-
定义通知（Advice）： 通知定义了在何时何地执行什么操作。常用的通知类型有：
@Before、@After、@AfterReturning、@AfterThrowing、@Around。 -
定义切点（Pointcut）： 切点定义了哪些方法需要被拦截。可以使用注解、方法签名等方式来定义切点。
-
启用AOP： 在Spring Boot应用中，需要在启动类上添加
@EnableAspectJAutoProxy注解来启用AOP。
第五章：实战演练——“纸上得来终觉浅，绝知此事要躬行”
光说不练假把式，接下来我们通过一个简单的例子来演示如何使用方法级别安全。
5.1 场景描述
假设我们有一个博客系统，用户可以发布文章、评论文章。我们需要实现以下安全控制：
- 只有管理员才能删除文章。
- 只有文章的作者或者管理员才能修改文章。
- 只有登录用户才能评论文章。
5.2 代码实现
- 启用方法级别安全
@SpringBootApplication
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class BlogApplication {
public static void main(String[] args) {
SpringApplication.run(BlogApplication.class, args);
}
}- 定义ArticleService
@Service
public class ArticleService {
@Autowired
private ArticleRepository articleRepository;
@PreAuthorize("hasRole('ADMIN')")
public void deleteArticle(Long articleId) {
// 只有管理员才能删除文章
articleRepository.deleteById(articleId);
}
@PreAuthorize("#article.author == authentication.name or hasRole('ADMIN')")
public void updateArticle(Article article) {
// 只有文章的作者或者管理员才能修改文章
articleRepository.save(article);
}
@PreAuthorize("isAuthenticated()")
public void commentArticle(Long articleId, String comment) {
// 只有登录用户才能评论文章
// ...
}
}5.3 测试
我们可以使用JUnit或者Postman等工具来测试我们的安全控制是否生效。
第六章：常见问题与最佳实践——“前车之鉴，后事之师”
6.1 常见问题
- 忘记启用方法级别安全： 如果没有在启动类上添加
@EnableGlobalMethodSecurity注解，方法级别的安全控制将不会生效。 - SpEL表达式编写错误： SpEL表达式编写错误可能会导致权限判断逻辑出错，甚至导致安全漏洞。
- 角色和权限配置错误： 角色和权限配置错误可能会导致用户无法访问他们应该能够访问的资源。
- 循环依赖： AOP可能会导致循环依赖问题，需要注意避免。
6.2 最佳实践
- 尽量使用注解： 注解简单易用，代码可读性高，是方法级别安全的首选方式。
- 编写清晰的SpEL表达式： SpEL表达式应该简洁明了，易于理解和维护。
- 充分测试： 确保你的安全控制逻辑能够正常工作。
- 定期审查： 定期审查你的安全配置，确保其仍然有效。
- 使用角色层次结构： 可以使用角色层次结构来简化权限管理。例如，可以定义一个
ROLE_ADMIN角色，并赋予它所有其他角色的权限。
结尾：守护你的代码，从方法级别安全开始
方法级别安全是Spring Security中一个非常重要的组成部分。它可以让我们对代码进行更细粒度的安全控制，从而更好地保护我们的数据和应用。希望通过今天的讲解，大家能够对方法级别安全有一个更深入的了解，并在实际项目中灵活运用。
记住，安全无小事，守护你的代码，从方法级别安全开始！💪
感谢大家的收听！我们下期再见！👋