如何实现Spring Security中基于自定义业务规则的访问控制？

题目

如何实现Spring Security中基于自定义业务规则的访问控制？

信息

• 类型：问答
• 难度：⭐⭐

考点

访问控制决策,自定义投票器,安全表达式

快速回答

实现自定义访问控制的核心步骤：

1. 创建实现AccessDecisionVoter<ConfigAttribute>的投票器
2. 重写vote方法实现业务规则逻辑
3. 在安全配置中注册自定义投票器
4. 使用@PreAuthorize注解或XML配置应用规则

关键点：

• 投票器返回ACCESS_GRANTED/ACCESS_DENIED
• 需正确处理弃权(ACCESS_ABSTAIN)场景
• 结合RoleVoter等内置投票器协同工作

1. 问题背景

在Spring Security中，标准的基于角色的访问控制(hasRole())有时无法满足复杂业务场景。例如需要实现：

• 「仅资源所有者可修改」的权限规则
• 基于时间、状态等动态条件的访问控制
• 多因素组合的权限决策

2. 核心实现方案

2.1 创建自定义投票器 (推荐方案)

public class OwnerCheckVoter implements AccessDecisionVoter<MethodInvocation> {

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return "OWNER_CHECK".equals(attribute.getAttribute());
    }

    @Override
    public int vote(Authentication authentication, MethodInvocation method, 
                   Collection<ConfigAttribute> attributes) {

        // 1. 检查是否需要本投票器处理
        if (attributes.stream().noneMatch(this::supports)) {
            return ACCESS_ABSTAIN; // 弃权
        }

        // 2. 获取当前用户和资源ID
        User user = (User) authentication.getPrincipal();
        Long resourceId = (Long) method.getArguments()[0]; // 假设第一个参数是资源ID

        // 3. 调用业务服务检查所有权
        if (resourceService.isOwner(user.getId(), resourceId)) {
            return ACCESS_GRANTED; // 授权
        }
        return ACCESS_DENIED; // 拒绝
    }
}

2.2 配置投票器链

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public AccessDecisionManager accessDecisionManager() {
        List<AccessDecisionVoter<?>> voters = new ArrayList<>();
        voters.add(new OwnerCheckVoter());
        voters.add(new RoleVoter()); // 保留角色投票器
        voters.add(new AuthenticatedVoter());

        return new UnanimousBased(voters); // 需要全体同意
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .accessDecisionManager(accessDecisionManager());
    }
}

2.3 在服务层应用规则

@Service
public class ResourceService {

    @PreAuthorize("@ownerCheckVoter.vote(authentication, #id) == 1")
    public void updateResource(Long id, ResourceData data) {
        // 业务逻辑
    }

    // 或使用自定义注解
    @PreAuthorize("hasPermission(#id, 'RESOURCE', 'WRITE')")
    public void deleteResource(Long id) { /* ... */ }
}

3. 替代方案对比

4. 最佳实践

• 权限缓存：在投票器中添加缓存机制（如@Cacheable）避免频繁查询数据库
• 错误处理：在vote()方法中捕获业务异常并返回ACCESS_DENIED
• 单元测试：验证投票器在不同场景下的返回结果
• 日志审计：记录关键权限决策日志用于安全审计

5. 常见错误

• ❌ 错误返回弃权(ABSTAIN)：当需要明确拒绝时应返回ACCESS_DENIED
• ❌ 忽略方法参数解析：需确保从MethodInvocation正确提取参数
• ❌ 投票器顺序错误：在UnanimousBased中所有投票器必须同意
• ❌ 循环依赖：避免在投票器中注入依赖当前权限检查的服务

6. 扩展知识

• 决策策略：
  - AffirmativeBased：任一同意即通过
  - ConsensusBased：多数同意原则
  - UnanimousBased：需全体同意
• 权限继承：通过@PreAuthorize+@PostAuthorize组合实现方法级双验证
• 动态权限：结合Spring AOP实现运行时权限规则更新