web应用系统中，可能需要根据角色对用户的访问权限做限制，或是某些方法级别的访问限制，

Spring Security则就是这样一个现成的可以为我们提供认证和授权的功能，为了初步了解

Spring Security，这里使用springboot整合spring security来了解springsecurity功能，步骤：

1、创建maven工程，添加maven依赖，这里简单添加两个依赖：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
        <version>2.3.5.RELEASE</version>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
        <version>2.1.5.RELEASE</version>
    </dependency>
</dependencies>

2、实现UserDetailsService,UserDetailsService只是一个含有一个方法的接口，无任何实现，

具体的实现需要有实现类去定义，其作用可参考https://blog.csdn.net/qq_39329616/article

/details/89978773，下面这张图也是引自该网友

 

 

 

以下是UserDetailsService的实现类：

@Service
public class UserDetailServiceImpl implements UserDetailsService {
    @Autowired
    private PasswordEncoder passwordEncoder;
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        List<GrantedAuthority> grantedAuthorities = new ArrayList<GrantedAuthority>();
        // 可以从数据库中筛选出来，然后进行判断
        if("employee".equals(username)){
            Employee employee=new Employee();
            employee.setUsername("employee");
            employee.setPassword("123456");
            GrantedAuthority grantedAuthority=new SimpleGrantedAuthority("ROLE_EMPLOYEE");
            grantedAuthorities.add(grantedAuthority);
            return new User(employee.getUsername(),
                    passwordEncoder.encode(employee.getPassword()),
                    grantedAuthorities);
        }
        if("admin".equals(username)){
            Admin admin=new Admin();
            admin.setUsername("admin");
            admin.setPassword("123456");
            GrantedAuthority grantedAuthority=new SimpleGrantedAuthority("ROLE_ADMIN");
            grantedAuthorities.add(grantedAuthority);
            return new User(admin.getUsername(),
                    passwordEncoder.encode(admin.getPassword()),
                    grantedAuthorities);
        }
        return null;
    }
}
上面引用的有两个类：admin,employee；定义如下：

public class Admin {
    private String username,password;

    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }
}

Employee类同上，定义略....

3、定义配置类，配置类需要继承WebSecurityConfigurerAdapter,这里有一篇该类的源码级别的介绍，

大牛就是大牛，https://blog.csdn.net/u012702547/article/details/107655180，膜拜一下....

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    //将自定义的UserDetailsServiceImpl注入进来
    @Autowired
    private UserDetailsService userDetailsService;

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
                .passwordEncoder(passwordEncoder());
    }
    @Override
    public void configure(WebSecurity web) throws Exception {
        super.configure(web);
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()//禁用了 csrf 功能
                .authorizeRequests()//限定签名成功的请求
                .antMatchers("/decision/**","/govern/**","/employee/*").hasAnyRole("EMPLOYEE","ADMIN")//对decision和govern 下的接口 需要 USER 或者 ADMIN 权限
                .antMatchers("/employee/login").permitAll()///employee/login 不限定
                .antMatchers("/admin/**").hasRole("ADMIN")//对admin下的接口 需要ADMIN权限
                .antMatchers("/oauth/**").permitAll()//不拦截 oauth 开放的资源
                .anyRequest().permitAll()//其他没有限定的请求，允许访问
                .and().anonymous()//对于没有配置权限的其他请求允许匿名访问
                .and().formLogin()//使用 spring security 默认登录页面
                .and().httpBasic();//启用http 基础验证
    }
}

4、定义一个Controller类，Admin的controller定义如下：

@RestController
@RequestMapping("/admin")
public class AdminController {

    @GetMapping("/greeting")
    public String greeting() {
        return "Hello,World!";
    }

    @GetMapping("/login")
    public String login() {
        return "login sucess";
    }
}

ok，所有内容定义完毕，这里只是定义了后端访问，可用Postman进行调试，postman调试内容如下：

 

 

 

 

 

 

上面的用户是admin用户，分别访问了admin和employee的资源，访问结果正常，用employee访问时如下：

 

 

 

 

 

 

从上图可以看出，employee用户可以访问employee资源，但是不能访问admin的资源，这就达到了

访问权限的控制，security功能有待进一步认识，以上内容大多参考自https://www.jianshu.com

/p/6a7dcef02bd5，发现很多网友真的很给力。。。