干货——Spring-Security-Mybatis-Demo 有更新!

Published on in 后端 with 3,959 views and 7 comments

SpringBoot下结合Mybatis,实现SpringSecurity的权限认证Demo,与传统RBAC不同之处在于:这里我们省略了A这个环节。同时又有别于其他的SpringSecurity项目,区别在于:同时考虑了企业用户和个人用户,企业用户可以分配子账户,并对子账户设置不同的角色,每个角色可执行的权限范围由注解来进行限制,同时,企业用户及其子账户通过邮箱进行登录,而个人账户则通过手机号码进行登录。

前言

按照惯例,先上项目源代码:

Github: spring-security-mybatis-demo

项目ER图如下所示:

er.jpg

看完ER图,相信各位应该能清楚一件事情:

跟传统的RBAC相比,这里没有A(Access)。

我们只对用户进行角色的区分,具体哪一个角色具备哪些权限,由注解来决定,如:

@PreAuthorize("hasRole('ROLE')")

运行

首先,请给项目Demo一颗Star - (不然会有人在后面画圈圈诅咒你)

这个项目对用户做了区分:个人用户和企业版用户。

个人用户

授权路径: auth/personal

授权刷新路径:refresh/personal

授权登录名:User表下的手机号码

个人用户授权

个人用户使用手机号码及密码在auth/personal下获取他们的授权token:

personal_login.jpg

授权成功后,个人用户只会有一个角色,就是:PERSONAL。

这意味着其他角色的API该个人用户将无法访问。(报401错误,当然,您可以自行修改错误代码,比如返回登录页面)

同时也意味着,每一个用户,可以拥有多个角色,这将有助于我们对角色等级的划分进行区分。

比如,最高等级的BOSS用户,也将同时是一个MANAGER用户,同时也是一个EMPLOYEE用户。

这样设计的好处在于,我们在进行权限判断的时候,只需考虑最低等级的权限,高权限的用户直接可以调用。

个人用户认证

个人用户获取他们的Token之后,在使用中,只需要向请求Header中,添加一个"Authorization",其值应该设置为:"Bearer " + ${token},请注意这里有一个空格的存在。

personal_coming.jpg

企业版用户

企业用户使用邮箱及密码在auth/Company下获取他们的授权token:

对于企业用户而言,默认的SQL对角色设置了三个:BOSS、MANAGER、EMPLOYEE,对于离职员工而言,只需要在User表下的isenabled中设置为0即可。

当然,您也可以自行进行角色的扩展,数量不受限制。

企业用户授权

这里以BOSS角色的帐号进行授权演示:

get_boss_token.jpg

如果您是一名Manager用户,那么获取Token的过程就会是:

manager_login.jpg

企业用户认证

企业用户获取他们的Token之后,在使用中,只需要向请求Header中,添加一个"Authorization",其值应该设置为:"Bearer " + ${token},请注意这里有一个空格的存在。

这一点与个人用户的登录是一致的。

接下来的使用就比较简单了:

  • BOSS用户调用他的专属API:

    boss_coming.jpg

  • 经理调用他的专属API:(当然,BOSS也是可以调用的,因为在User_role表中,请注意看,我们的BOSS用户拥有其他所有角色的roleID)

    manager_login.jpg

  • 经理想调用BOSS的专属API:

    manager_want_boss_greeting.jpg

Responses
  • lm

    确实如此,所以实际项目使用过程中,还是以传统的RBAC为主

    Reply
  • 这样设计,如果要突然给某人赋予某个单一的权限或功能访问,好像有点问题。这种情况还是很多的。不过这个是DEMO也没有啥问题啦。

    Reply
  • lm

    另外,简书等各个平台都有人在抄我的文章,我已经懒的管了,但是我从来没有抄袭过任何人的东西。

    Reply
  • lm

    首先感谢您对于原创精神的执着追求,但是您说我抄他的就不对了,因为是他抄我的。
    我写这个项目的时间在2018年1月份,2月份左右全部完成(有GitHub提交历史记录为证),而这个人的项目是在2018年5月份完成(2018年5月完成对我项目的抄袭),所以到底是谁抄谁的?

    Reply
  • Jacj

    在别人的源码上修改也算付出自己的劳动,可以说是干货,但请给出参考来源好吗
    https://github.com/liubo-tech/spring-security-rbac/issues/1

    Reply
  • lm

    很棒的问题,我会在后面的版本迭代中增加不希望验证的角色设置项

    Reply
  • 如果说我指定某个目录比如 manager 下的所有才需要登陆验证,其他不需要该如何设置呢?

    http  
    .csrf().disable()  
    .authorizeRequests()  
    .antMatchers("/", "/api/**","/images/**").permitAll()  
    .anyRequest().authenticated()  
    .and()  
    .formLogin()  
    .loginPage("/login")  
    .defaultSuccessUrl("/manager/")  
    .permitAll()  
    .and()  
    .headers().frameOptions().disable()  
    .and()  
    .logout()  
    .logoutUrl("/logout")  
    .logoutSuccessUrl("/")  
    .permitAll();
    

    Reply