SpringBoot权限管理实战：从入门到精通-369IT编程

admin管理员组
文章数量:1029770

SpringBoot权限管理实战：从入门到精通

引言

在现代Web应用开发中，权限管理是不可或缺的核心功能。SpringBoot作为Java领域最流行的框架之一，提供了强大的安全支持。本文将带你全面了解如何在SpringBoot应用中实现完善的权限管理系统。

一、权限管理基础概念

1.1 认证(Authentication) vs 授权(Authorization)

认证：验证用户身份（如用户名密码登录）
授权：验证用户是否有权限访问特定资源

1.2 常见的权限控制模型

RBAC (基于角色的访问控制)

用户 -> 角色 -> 权限

ABAC (基于属性的访问控制)

更细粒度的控制，基于用户/资源属性

ACL (访问控制列表)

直接定义用户对资源的操作权限

二、Spring Security 核心组件

2.1 主要组件

SecurityContextHolder：存储安全上下文
Authentication：包含用户凭证和权限信息
UserDetails：用户核心信息接口
UserDetailsService：加载用户特定数据
PasswordEncoder：密码加密接口

2.2 过滤器链 Spring Security基于过滤器链实现安全控制，主要过滤器包括：

UsernamePasswordAuthenticationFilter：处理表单登录
BasicAuthenticationFilter：处理HTTP Basic认证
FilterSecurityInterceptor：进行权限验证

三、实战：基于RBAC的权限系统实现

3.1 项目初始化

java @SpringBootApplication public class AuthApplication { public static void main(String args) { SpringApplication.run(AuthApplication.class, args); } }

3.2 数据库设计

sql CREATE TABLE sys_user ( id BIGINT PRIMARY KEY AUTO_INCREMENT, username VARCHAR(50) UNIQUE NOT NULL, password VARCHAR(100) NOT NULL, enabled BOOLEAN DEFAULT TRUE );

CREATE TABLE sys_role ( id BIGINT PRIMARY KEY AUTO_INCREMENT, name VARCHAR(50) UNIQUE NOT NULL );

CREATE TABLE sys_user_role ( user_id BIGINT NOT NULL, role_id BIGINT NOT NULL, PRIMARY KEY (user_id, role_id) );

CREATE TABLE sys_permission ( id BIGINT PRIMARY KEY AUTO_INCREMENT, name VARCHAR(50) NOT NULL, url VARCHAR(255) NOT NULL, method VARCHAR(10) NOT NULL );

CREATE TABLE sys_role_permission ( role_id BIGINT NOT NULL, permission_id BIGINT NOT NULL, PRIMARY KEY (role_id, permission_id) );

3.3 核心代码实现

自定义UserDetailsService

java @Service public class CustomUserDetailsService implements UserDetailsService {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private UserRepository userRepository;

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    SysUser user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("用户不存在"));
    
    return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            getAuthorities(user.getId())
    );
}

private Collection<? extends GrantedAuthority> getAuthorities(Long userId) {
    // 查询用户角色和权限
    List<SysRole> roles = roleRepository.findByUserId(userId);
    List<SysPermission> permissions = permissionRepository.findByUserId(userId);
    
    Set<GrantedAuthority> authorities = new HashSet<>();
    
    // 添加角色
    roles.forEach(role -> 
        authorities.add(new SimpleGrantedAuthority("ROLE_" + role.getName())));
    
    // 添加权限
    permissions.forEach(permission -> 
        authorities.add(new SimpleGrantedAuthority(permission.getName())));
    
    return authorities;
}

}

安全配置类

java @Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class SecurityConfig extends WebSecurityConfigurerAdapter {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private CustomUserDetailsService userDetailsService;

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService)
        .passwordEncoder(passwordEncoder());
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/api/public/").permitAll()
            .antMatchers("/api/admin/").hasRole("ADMIN")
            .anyRequest().authenticated()
        .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
        .and()
        .logout()
            .permitAll()
        .and()
        .csrf().disable();
}

}

权限注解使用

java @RestController @RequestMapping("/api/users") public class UserController {

代码语言：javascript代码运行次数：0运行复制

@PreAuthorize("hasRole('ADMIN') or hasAuthority('USER_MANAGE')")
@GetMapping
public List<User> getAllUsers() {
    // 获取所有用户
}

@PreAuthorize("id == authentication.principal.id or hasRole('ADMIN')")
@GetMapping("/{id}")
public User getUser(@PathVariable Long id) {
    // 获取特定用户
}

}

四、进阶功能实现

4.1 动态权限控制

java @Service public class DynamicPermissionService implements FilterInvocationSecurityMetadataSource {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private PermissionRepository permissionRepository;

@Override
public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
    String url = ((FilterInvocation) object).getRequestUrl();
    String method = ((FilterInvocation) object).getHttpRequest().getMethod();
    
    // 查询数据库获取该URL+Method需要的权限
    List<SysPermission> permissions = permissionRepository.findByUrlAndMethod(url, method);
    
    if (permissions.isEmpty()) {
        return SecurityConfig.createList("permitAll");
    }
    
    String attributes = permissions.stream()
            .map(SysPermission::getName)
            .toArray(String::new);
    
    return SecurityConfig.createList(attributes);
}

// 其他必要方法实现...

}

4.2 JWT集成

java @Component public class JwtTokenFilter extends OncePerRequestFilter {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private JwtTokenUtil jwtTokenUtil;

@Autowired
private CustomUserDetailsService userDetailsService;

@Override
protected void doFilterInternal(HttpServletRequest request, 
                                HttpServletResponse response, 
                                FilterChain chain) throws ServletException, IOException {
    
    String token = jwtTokenUtil.getTokenFromRequest(request);
    
    if (token != null && jwtTokenUtil.validateToken(token)) {
        String username = jwtTokenUtil.getUsernameFromToken(token);
        
        UserDetails userDetails = userDetailsService.loadUserByUsername(username);
        UsernamePasswordAuthenticationToken authentication = 
            new UsernamePasswordAuthenticationToken(
                userDetails, null, userDetails.getAuthorities());
        
        authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
        SecurityContextHolder.getContext().setAuthentication(authentication);
    }
    
    chain.doFilter(request, response);
}

}

4.3 权限缓存优化

java @Configuration @EnableCaching public class CacheConfig {

代码语言：javascript代码运行次数：0运行复制

@Bean
public CacheManager cacheManager() {
    return new ConcurrentMapCacheManager("userDetails", "permissions");
}

}

@Service public class CachedUserDetailsService implements UserDetailsService {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private CustomUserDetailsService delegate;

@Cacheable(value = "userDetails", key = "username")
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    return delegate.loadUserByUsername(username);
}

}

五、最佳实践与常见问题

5.1 最佳实践

最小权限原则：只授予必要的权限
前后端分离：使用JWT等无状态认证
日志审计：记录关键权限操作
定期审查：定期检查权限分配合理性

5.2 常见问题解决方案

CSRF防护：前后端分离项目可禁用，传统项目需启用
权限缓存：用户权限变更后及时清除缓存
性能优化：使用缓存减少数据库查询
细粒度控制：结合方法注解和URL权限

六、总结

本文详细介绍了SpringBoot中实现权限管理的完整方案，从基础的RBAC模型到动态权限控制，再到JWT集成等高级功能。Spring Security提供了强大而灵活的权限管理能力，合理运用可以构建出既安全又高效的权限系统。

在实际项目中，应根据业务需求选择合适的权限模型，并注意性能优化和安全防护

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。原始发表：2025-04-19，如有侵权请联系 cloudcommunity@tencent 删除安全管理权限入门缓存

SpringBoot权限管理实战：从入门到精通

引言

一、权限管理基础概念

1.1 认证(Authentication) vs 授权(Authorization)

认证：验证用户身份（如用户名密码登录）
授权：验证用户是否有权限访问特定资源

1.2 常见的权限控制模型

RBAC (基于角色的访问控制)

用户 -> 角色 -> 权限

ABAC (基于属性的访问控制)

更细粒度的控制，基于用户/资源属性

ACL (访问控制列表)

直接定义用户对资源的操作权限

二、Spring Security 核心组件

2.1 主要组件

SecurityContextHolder：存储安全上下文
Authentication：包含用户凭证和权限信息
UserDetails：用户核心信息接口
UserDetailsService：加载用户特定数据
PasswordEncoder：密码加密接口

2.2 过滤器链 Spring Security基于过滤器链实现安全控制，主要过滤器包括：

UsernamePasswordAuthenticationFilter：处理表单登录
BasicAuthenticationFilter：处理HTTP Basic认证
FilterSecurityInterceptor：进行权限验证

三、实战：基于RBAC的权限系统实现

3.1 项目初始化

java @SpringBootApplication public class AuthApplication { public static void main(String args) { SpringApplication.run(AuthApplication.class, args); } }

3.2 数据库设计

sql CREATE TABLE sys_user ( id BIGINT PRIMARY KEY AUTO_INCREMENT, username VARCHAR(50) UNIQUE NOT NULL, password VARCHAR(100) NOT NULL, enabled BOOLEAN DEFAULT TRUE );

CREATE TABLE sys_role ( id BIGINT PRIMARY KEY AUTO_INCREMENT, name VARCHAR(50) UNIQUE NOT NULL );

CREATE TABLE sys_user_role ( user_id BIGINT NOT NULL, role_id BIGINT NOT NULL, PRIMARY KEY (user_id, role_id) );

CREATE TABLE sys_permission ( id BIGINT PRIMARY KEY AUTO_INCREMENT, name VARCHAR(50) NOT NULL, url VARCHAR(255) NOT NULL, method VARCHAR(10) NOT NULL );

CREATE TABLE sys_role_permission ( role_id BIGINT NOT NULL, permission_id BIGINT NOT NULL, PRIMARY KEY (role_id, permission_id) );

3.3 核心代码实现

自定义UserDetailsService

java @Service public class CustomUserDetailsService implements UserDetailsService {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private UserRepository userRepository;

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    SysUser user = userRepository.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("用户不存在"));
    
    return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            getAuthorities(user.getId())
    );
}

private Collection<? extends GrantedAuthority> getAuthorities(Long userId) {
    // 查询用户角色和权限
    List<SysRole> roles = roleRepository.findByUserId(userId);
    List<SysPermission> permissions = permissionRepository.findByUserId(userId);
    
    Set<GrantedAuthority> authorities = new HashSet<>();
    
    // 添加角色
    roles.forEach(role -> 
        authorities.add(new SimpleGrantedAuthority("ROLE_" + role.getName())));
    
    // 添加权限
    permissions.forEach(permission -> 
        authorities.add(new SimpleGrantedAuthority(permission.getName())));
    
    return authorities;
}

}

安全配置类

java @Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class SecurityConfig extends WebSecurityConfigurerAdapter {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private CustomUserDetailsService userDetailsService;

@Bean
public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.userDetailsService(userDetailsService)
        .passwordEncoder(passwordEncoder());
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/api/public/").permitAll()
            .antMatchers("/api/admin/").hasRole("ADMIN")
            .anyRequest().authenticated()
        .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
        .and()
        .logout()
            .permitAll()
        .and()
        .csrf().disable();
}

}

权限注解使用

java @RestController @RequestMapping("/api/users") public class UserController {

代码语言：javascript代码运行次数：0运行复制

@PreAuthorize("hasRole('ADMIN') or hasAuthority('USER_MANAGE')")
@GetMapping
public List<User> getAllUsers() {
    // 获取所有用户
}

@PreAuthorize("id == authentication.principal.id or hasRole('ADMIN')")
@GetMapping("/{id}")
public User getUser(@PathVariable Long id) {
    // 获取特定用户
}

}

四、进阶功能实现

4.1 动态权限控制

java @Service public class DynamicPermissionService implements FilterInvocationSecurityMetadataSource {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private PermissionRepository permissionRepository;

@Override
public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
    String url = ((FilterInvocation) object).getRequestUrl();
    String method = ((FilterInvocation) object).getHttpRequest().getMethod();
    
    // 查询数据库获取该URL+Method需要的权限
    List<SysPermission> permissions = permissionRepository.findByUrlAndMethod(url, method);
    
    if (permissions.isEmpty()) {
        return SecurityConfig.createList("permitAll");
    }
    
    String attributes = permissions.stream()
            .map(SysPermission::getName)
            .toArray(String::new);
    
    return SecurityConfig.createList(attributes);
}

// 其他必要方法实现...

}

4.2 JWT集成

java @Component public class JwtTokenFilter extends OncePerRequestFilter {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private JwtTokenUtil jwtTokenUtil;

@Autowired
private CustomUserDetailsService userDetailsService;

@Override
protected void doFilterInternal(HttpServletRequest request, 
                                HttpServletResponse response, 
                                FilterChain chain) throws ServletException, IOException {
    
    String token = jwtTokenUtil.getTokenFromRequest(request);
    
    if (token != null && jwtTokenUtil.validateToken(token)) {
        String username = jwtTokenUtil.getUsernameFromToken(token);
        
        UserDetails userDetails = userDetailsService.loadUserByUsername(username);
        UsernamePasswordAuthenticationToken authentication = 
            new UsernamePasswordAuthenticationToken(
                userDetails, null, userDetails.getAuthorities());
        
        authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
        SecurityContextHolder.getContext().setAuthentication(authentication);
    }
    
    chain.doFilter(request, response);
}

}

4.3 权限缓存优化

java @Configuration @EnableCaching public class CacheConfig {

代码语言：javascript代码运行次数：0运行复制

@Bean
public CacheManager cacheManager() {
    return new ConcurrentMapCacheManager("userDetails", "permissions");
}

}

@Service public class CachedUserDetailsService implements UserDetailsService {

代码语言：javascript代码运行次数：0运行复制

@Autowired
private CustomUserDetailsService delegate;

@Cacheable(value = "userDetails", key = "username")
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    return delegate.loadUserByUsername(username);
}

}

五、最佳实践与常见问题

5.1 最佳实践

最小权限原则：只授予必要的权限
前后端分离：使用JWT等无状态认证
日志审计：记录关键权限操作
定期审查：定期检查权限分配合理性

5.2 常见问题解决方案

CSRF防护：前后端分离项目可禁用，传统项目需启用
权限缓存：用户权限变更后及时清除缓存
性能优化：使用缓存减少数据库查询
细粒度控制：结合方法注解和URL权限

六、总结

在实际项目中，应根据业务需求选择合适的权限模型，并注意性能优化和安全防护

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。原始发表：2025-04-19，如有侵权请联系 cloudcommunity@tencent 删除安全管理权限入门缓存

本文标签： SpringBoot权限管理实战从入门到精通

版权声明：本文标题：SpringBoot权限管理实战：从入门到精通内容由热心网友自发贡献，该文观点仅代表作者本人，转载请联系作者并注明出处：http://it.en369.cn/jiaocheng/1747608125a2192590.html，本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。

369IT编程

SpringBoot权限管理实战：从入门到精通

SpringBoot权限管理实战：从入门到精通

SpringBoot权限管理实战：从入门到精通

更多相关文章

SpringBoot权限管理实战：从入门到精通

发表评论

推荐文章

rewrite rules - add_rewrite_rule redirects if value = 1

functions - Combine multiple menus using the filter wp_nav_menu_items

php - Permalink like example.comtaxonomypost_typepostname

域名与官网的迷思：数字身份认证的全球困境与实践解方

OpenSPGKAG v0.7.1 发布，针对新版若干优化和BUGFIX

热门文章

javascript - Handling rollbacked MySQL transactions in Node.js - Stack Overflow

How to check if a character is a letter or a number in javascript? - Stack Overflow

javascript - Convert ARGB to RGBA format - Stack Overflow

javascript - Autofocus on the first empty field in the form - Stack Overflow

javascript - 'Click' function not working within typescriptangular after finding element using 'document

list - How to hide search results when clearing out in the input search box? JavaScript Only Please - Stack Overflow

如何让WIN10系统彻底永久关闭自动更新？

Python+AI提示词用LSTM和注意力机制的苹果公司股票价格预测

6.5K star！AI视频翻译配音神器，一键生成多平台适配内容，专业级本地化方案来袭！

EdgeOne 助力跨境电商安全出海，打造全球极致购物体验

最新文章

15.4K Star！Vercel官方出品，零基础构建企业级AI聊天机器人

Python+AI提示词比特币数据预测：Logistic逻辑回归、SVC及XGB特征工程优化实践

推荐一个开源的企业级网络安全检测工具,牛皮大了!

一口气讲清楚：向量库、训练集、多模态

OpenAI深夜上线o3满血版和o4 mini

程序员刚毕业，先去大厂镀金还是先去小厂攒经验？

万象2008清空boss账户密码

【Tools】GitBook简明教程

oracle exadata celldisk 闪存盘受损导致性能下降

SDUT 2138 图结构练习——BFSDFS——判断可达性

javascript - Type 'undefined' is not assignable to type 'menuItemProps[]' - Stack Overflow

javascript - VS 2015 Angular 2 import modules cannot be resolved - Stack Overflow

javascript - Get the JSON objects that are not present in another array - Stack Overflow

javascript - How to dismiss a phonegap notification programmatically - Stack Overflow

c - Solaris 10 make Error code 1 Fatal Error when trying to build python 2.7.16 - Stack Overflow

369IT编程

SpringBoot权限管理实战：从入门到精通

SpringBoot权限管理实战：从入门到精通

SpringBoot权限管理实战：从入门到精通

更多相关文章

SpringBoot权限管理实战：从入门到精通

发表评论

推荐文章

rewrite rules - add_rewrite_rule redirects if value = 1

functions - Combine multiple menus using the filter wp_nav_menu_items

php - Permalink like example.comtaxonomypost_typepostname

域名与官网的迷思：数字身份认证的全球困境与实践解方

OpenSPGKAG v0.7.1 发布， 针对新版若干优化和BUGFIX

热门文章

javascript - Handling rollbacked MySQL transactions in Node.js - Stack Overflow

How to check if a character is a letter or a number in javascript? - Stack Overflow

javascript - Convert ARGB to RGBA format - Stack Overflow

javascript - Autofocus on the first empty field in the form - Stack Overflow

javascript - &#39;Click&#39; function not working within typescriptangular after finding element using &#39;document

list - How to hide search results when clearing out in the input search box? JavaScript Only Please - Stack Overflow

如何让WIN10系统彻底永久关闭自动更新？

Python+AI提示词用LSTM和注意力机制的苹果公司股票价格预测

6.5K star！AI视频翻译配音神器，一键生成多平台适配内容，专业级本地化方案来袭！

EdgeOne 助力跨境电商安全出海，打造全球极致购物体验

最新文章

15.4K Star！Vercel官方出品，零基础构建企业级AI聊天机器人

Python+AI提示词比特币数据预测：Logistic逻辑回归、SVC及XGB特征工程优化实践

推荐一个开源的企业级网络安全检测工具,牛皮大了!

一口气讲清楚：向量库、训练集、多模态

OpenAI深夜上线o3满血版和o4 mini

程序员刚毕业，先去大厂镀金还是先去小厂攒经验？

万象2008清空boss账户密码

【Tools】GitBook简明教程

oracle exadata celldisk 闪存盘受损导致性能下降

SDUT 2138 图结构练习——BFSDFS——判断可达性

javascript - Type &#39;undefined&#39; is not assignable to type &#39;menuItemProps[]&#39; - Stack Overflow

javascript - VS 2015 Angular 2 import modules cannot be resolved - Stack Overflow

javascript - Get the JSON objects that are not present in another array - Stack Overflow

javascript - How to dismiss a phonegap notification programmatically - Stack Overflow

c - Solaris 10 make Error code 1 Fatal Error when trying to build python 2.7.16 - Stack Overflow

OpenSPGKAG v0.7.1 发布，针对新版若干优化和BUGFIX

javascript - 'Click' function not working within typescriptangular after finding element using 'document

javascript - Type 'undefined' is not assignable to type 'menuItemProps[]' - Stack Overflow