spring security WebFlux 动态加载权限

原创

已于 2022-05-29 10:44:48 修改 · 1.9k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#java

于 2022-05-28 11:09:49 首次发布

本文介绍了一种通过替换Spring Security中的ServerHttpSecurity.AuthorizeExchangeSpec来实现自定义权限管理的方法。具体做法是创建自定义的映射关系，并将其传递给AuthorizationWebFilter以覆盖默认配置。

权限校验会调用 DelegatingReactiveAuthorizationManager -> check方法。DelegatingReactiveAuthorizationManager 里的mappings保存的是pathMatcher和对应的权限。

思路是拿到mappings，每次清空再重新添加。

把ServerHttpSecurity里的authorizeExchangeSpec替换为自定义的，authorizeExchangeSpec的configure方法里创建AuthorizationWebFilter的时候，将自定义mappings传入，替换默认的。

    
// 路径，权限对应关系
List<ServerWebExchangeMatcherEntry<ReactiveAuthorizationManager<AuthorizationContext>>> mappings = new CopyOnWriteArrayList<>();

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) throws Exception {
        mappings.add(new ServerWebExchangeMatcherEntry(ServerWebExchangeMatchers.pathMatchers("/user/list"),
                    AuthorityReactiveAuthorizationManager.hasAnyRole("admin")));
        ServerHttpSecurity.AuthorizeExchangeSpec exchangeSpec = http.new AuthorizeExchangeSpec();
        Enhancer enhancer = new Enhancer();
        enhancer.s