如何实现Spring Security的动态URL权限控制？

题目

如何实现Spring Security的动态URL权限控制？

信息

• 类型：问答
• 难度：⭐⭐

考点

Spring Security配置, 动态权限控制, 自定义访问决策

快速回答

实现动态URL权限控制的核心步骤：

1. 自定义FilterInvocationSecurityMetadataSource从数据库加载权限规则
2. 实现AccessDecisionManager进行访问决策
3. 配置ExpressionBasedPreInvocationAdvice处理权限表达式
4. 禁用默认的注解权限检查（如@PreAuthorize）

动态URL权限控制允许系统在运行时从数据库加载权限规则，相比硬编码配置更灵活。以下是完整实现方案：

1. 核心原理

Spring Security的权限控制流程：

动态权限的关键是重写权限元数据源和访问决策器。

2. 代码实现

2.1 自定义权限元数据源

@Component
public class DynamicSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {

    @Autowired
    private PermissionService permissionService;

    @Override
    public Collection<ConfigAttribute> getAttributes(Object object) {
        // 1. 获取当前请求URL
        HttpServletRequest request = ((FilterInvocation) object).getRequest();
        String url = request.getRequestURI();

        // 2. 从数据库查询该URL需要的权限
        List<String> permissions = permissionService.getPermissionsByUrl(url);

        // 3. 转换为Spring Security需要的格式
        return permissions.stream()
            .map(p -> new SecurityConfig(p))
            .collect(Collectors.toList());
    }
}

2.2 自定义访问决策器

public class DynamicAccessDecisionManager implements AccessDecisionManager {

    @Override
    public void decide(Authentication authentication, Object object, 
                       Collection<ConfigAttribute> configAttributes) {

        // 1. 无需权限的请求直接放行
        if (configAttributes.isEmpty()) {
            return;
        }

        // 2. 检查用户权限是否匹配
        for (ConfigAttribute attribute : configAttributes) {
            String needPermission = attribute.getAttribute();
            for (GrantedAuthority authority : authentication.getAuthorities()) {
                if (needPermission.equals(authority.getAuthority())) {
                    return;
                }
            }
        }

        // 3. 权限不足时抛出异常
        throw new AccessDeniedException("权限不足");
    }
}

2.3 安全配置

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DynamicSecurityMetadataSource metadataSource;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().authenticated()
            .withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {
                @Override
                public <O extends FilterSecurityInterceptor> O postProcess(O fsi) {
                    fsi.setSecurityMetadataSource(metadataSource);
                    fsi.setAccessDecisionManager(new DynamicAccessDecisionManager());
                    return fsi;
                }
            });
    }
}

3. 最佳实践

• 权限缓存：在DynamicSecurityMetadataSource中添加Redis缓存，避免频繁查询数据库
• 权限变更通知：使用Spring Event发布权限更新事件，及时刷新缓存
• 默认放行规则：对登录页、静态资源等配置白名单

4. 常见错误

5. 扩展知识

• RBAC模型扩展：可在权限表中添加effect_time字段实现权限时效控制
• 分布式方案：当服务集群部署时，通过Redis Pub/Sub同步权限变更
• 性能优化：使用布隆过滤器快速判断未知URL权限