首页 > 软件编程 > java > @PreAuthorize、@PostAuthorize注解详解

@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter注解的用法详解

2023-10-13 08:35:58 作者：青岛老甜沫

这篇文章主要介绍了@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter注解的用法详解,通过在方法上添加@PreAuthorize注解,可以指定需要满足的权限条件,只有满足条件的用户才能执行该方法,需要的朋友可以参考下

@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter注解的用法

Spring Security中定义了四个支持使用表达式的注解，分别是

@PreAuthorize，@PostAuthorize，@PreFilter，@PostFilter：　

其中前两者可以用来在方法调用前或者调用后进行权限检查，后两者可以用来对集合类型的参数或者返回值进行过滤。　

要使它们的定义能够对我们的方法的调用产生影响我们需要设置global-method-security元素的pre-post-annotations=”enabled”，默认为disabled。

用法

在资源服务器中的config类中使用注解：

@Configuration //声明为配置类的bean
@EnableResourceServer //开启资源服务
@EnableOAuth2Client //开启OAuth2Client客户端
@EnableConfigurationProperties //开启读取配置文件的功能
//开启全局方法调用权限验证
// 当@EnableGlobalMethodSecurity(prePostEnabled=true)的时候，@PreAuthorize @PostAuthorize才可以使用
@EnableGlobalMethodSecurity(prePostEnabled = true)

@PreAuthorize用法

@PreAuthorize可以用来控制一个方法是否能够被调用。例：

@Service
public class UserServiceImpl implements UserService {
   @PreAuthorize("hasRole('ROLE_ADMIN')")
   public void addUser(User user) {
      System.out.println("addUser................" + user);
   }
   @PreAuthorize("hasRole('ROLE_USER') or hasRole('ROLE_ADMIN')")
   public User find(int id) {
      System.out.println("find user by id............." + id);
      return null;
   }
}

在上面的代码中我们定义了只有拥有角色ROLE_ADMIN的用户才能访问adduser()方法，而访问find()方法需要有ROLE_USER角色或ROLE_ADMIN角色。

那注解的值可以参考类：

org.springframework.security.access.expression.SecurityExpressionOperations.class

另外，还可以使用表示式

public class UserServiceImpl implements UserService {
   /**
    * 限制只能查询Id小于10的用户
   */
   @PreAuthorize("#id<10")
   public User find(int id) {
      System.out.println("find user by id........." + id);
      return null;
   }
   /**
    * 限制只能查询自己的信息
    */
   @PreAuthorize("principal.username.equals(#username)")
   public User find(String username) {
      System.out.println("find user by username......" + username);
      return null;
   }
   /**
    * 限制只能新增用户名称为abc的用户
    */
   @PreAuthorize("#user.name.equals('abc')")
   public void add(User user) {
      System.out.println("addUser............" + user);
   }
}

在上面代码中我们定义了调用find(int id)方法时，只允许参数id小于10的调用；调用find(String username)时只允许username为当前用户的用户名；定义了调用add()方法时只有当参数user的name为abc时才可以调用。

@PostAuthorize用法

有时候可能你会想在方法调用完之后进行权限检查，这种情况比较少，但是如果你有的话，Spring Security也为我们提供了支持，通过@PostAuthorize可以达到这一效果。使用@PostAuthorize时我们可以使用内置的表达式returnObject表示方法的返回值。

下面这一段示例代码：

@PostAuthorize("returnObject.id%2==0")
   public User find(int id) {
      User user = new User();
      user.setId(id);
      return user;
   }

@PreFilter和@PostFilter的用法

使用@PreFilter和@PostFilter可以对集合类型的参数或返回值进行过滤。使用@PreFilter和@PostFilter时，Spring Security将移除使对应表达式的结果为false的元素。

 @PostFilter("filterObject.id%2==0"）
  public List<User> findAll() {
      List<User> userList = new ArrayList<User>();
      User user;
      for (int i=0; i<10; i++) {
         user = new User();
         user.setId(i);
         userList.add(user);
      }
      return userList;
   }

上述代码表示将对返回结果中id不为偶数的user进行移除。filterObject是使用@PreFilter和@PostFilter时的一个内置表达式，表示集合中的当前对象。当@PreFilter标注的方法拥有多个集合类型的参数时，需要通过@PreFilter的filterTarget属性指定当前@PreFilter是针对哪个参数进行过滤的。如下面代码就通过filterTarget指定了当前@PreFilter是用来过滤参数ids的

   @PreFilter(filterTarget="ids", value="filterObject%2==0")
   public void delete(List<Integer> ids, List<String> usernames) {
      ...
   }

到此这篇关于@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter注解的用法详解的文章就介绍到这了,更多相关@PreAuthorize、@PostAuthorize注解详解内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

@PreAuthorize、@PostAuthorize、@PreFilter、@PostFilter注解的用法详解