Spring Security权限控制框架详解

关注

原创最新推荐文章于 2026-10-11 14:46:10 发布 402 阅读 AI 写同款· GEO 优化 ›

RuoYi框架中Spring Security的实战配置：从零到Token认证的完整流程本文深入解析了RuoYi框架中Spring Security的实战配置，从基础架构到Token认证的完整实现流程，涵盖了JWT生成与验证、过滤器链设计、精细化权限控制等核心内容。特别针对源码分析中的关键配置类SecurityConfig和Token认证机制进行了详细解读，为开发者提供了一份全面的安全配置指南。阅读详情

一、权限控制核心概念

1. 认证 (Authentication)

定义：验证用户身份的过程，确认用户是否合法
实现方式：通常通过用户名/密码、令牌、生物特征等方式
示例：用户使用账号密码登录系统

2. 授权 (Authorization)

定义：验证用户是否有权限执行特定操作
实现方式：基于角色或权限的访问控制
示例：控制用户能否访问特定页面或执行删除操作

二、权限控制数据模型设计

5张表模型（RBAC模型）

-- 用户表
CREATE TABLE user (
    id INT PRIMARY KEY,
    username VARCHAR(50),
    password VARCHAR(100)
);

-- 角色表
CREATE TABLE role (
    id INT PRIMARY KEY,
    name VARCHAR(50),        -- 显示名称
    keyword VARCHAR(50)      -- 角色关键字
);

-- 权限表
CREATE TABLE permission (
    id INT PRIMARY KEY,
    name VARCHAR(50),        -- 显示名称
    keyword VARCHAR(50)      -- 权限关键字
);

-- 用户-角色关联表
CREATE TABLE user_role (
    user_id INT,
    role_id INT,
    PRIMARY KEY(user_id, role_id)
);

-- 角色-权限关联表
CREATE TABLE role_permission (
    role_id INT,
    permission_id INT,
    PRIMARY KEY(role_id, permission_id)
);

7张表模型（扩展RBAC）

在5张表基础上增加：

-- 菜单表
CREATE TABLE menu (
    id INT PRIMARY KEY,
    name VARCHAR(50),        -- 菜单名称
    linkUrl VARCHAR(200),    -- 菜单链接
    parent_id INT           -- 父菜单ID
);

-- 角色-菜单关联表
CREATE TABLE role_menu (
    role_id INT,
    menu_id INT,
    PRIMARY KEY(role_id, menu_id)
);

三、授权实现方式

1. 基于角色的访问控制

// 检查用户是否具有管理员角色
if(user.getRole().getKeyword().equals("ROLE_ADMIN")) {
    // 执行管理员操作
    adminOperation();
}

2. 基于权限的访问控制

// 检查用户是否具有删除权限
if(user.getRole().getPermissions()
       .stream()
       .anyMatch(p -> p.getKeyword().equals("CHECKITEM_DELETE"))) {
    // 执行删除操作
    deleteCheckItem();
}

四、Spring Security工作原理

核心架构

客户端请求
    ↓
DispatcherServlet
    ↓
FilterChainProxy (Spring Security核心过滤器链)
    ↓
┌─────────────────────────────────────────────┐
│  Spring Security过滤器链                      │
│  ├─ SecurityContextPersistenceFilter        │
│  ├─ UsernamePasswordAuthenticationFilter     │
│  ├─ BasicAuthenticationFilter                │
│  ├─ RememberMeAuthenticationFilter           │
│  ├─ AnonymousAuthenticationFilter            │
│  ├─ SessionManagementFilter                  │
│  ├─ ExceptionTranslationFilter               │
│  └─ FilterSecurityInterceptor (关键拦截器)    │
└─────────────────────────────────────────────┘
    ↓
Controller → Service → DAO
    ↓
返回响应

工作流程详解

启动阶段
- Spring Boot启动时，Spring Security自动配置
- 创建FilterChainProxy过滤器链代理
- 注册到Spring IOC容器中

请求处理阶段

// 伪代码演示
public void doFilter(ServletRequest request, ServletResponse response) {
    // 1. 认证处理
    Authentication authentication = attemptAuthentication(request);

    // 2. 认证成功，设置SecurityContext
    SecurityContextHolder.getContext().setAuthentication(authentication);

    // 3. 授权检查
    authorizeRequest(request, authentication);

    // 4. 继续过滤器链
    filterChain.doFilter(request, response);

    // 5. 清理上下文
    SecurityContextHolder.clearContext();
}

关键组件说明
- SecurityContextPersistenceFilter：维护用户安全上下文
- UsernamePasswordAuthenticationFilter：处理表单登录
- FilterSecurityInterceptor：进行授权决策的关键拦截器
- AccessDecisionManager：访问决策管理器，决定是否允许访问

认证流程

用户提交登录请求
    ↓
UsernamePasswordAuthenticationFilter
    ↓
AuthenticationManager.authenticate()
    ↓
UserDetailsService.loadUserByUsername()
    ↓
验证密码和状态
    ↓
认证成功 → 生成Authentication对象
    ↓
存入SecurityContextHolder
    ↓
重定向到目标页面

授权流程

用户访问受保护资源
    ↓
FilterSecurityInterceptor拦截
    ↓
获取当前用户认证信息
    ↓
获取资源所需的权限配置
    ↓
AccessDecisionManager决策
    ↓
权限足够 → 允许访问
权限不足 → 抛出AccessDeniedException

五、Spring Security配置示例

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Autowired
    private UserDetailsService userDetailsService;
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .antMatchers("/api/**").access("@permissionService.hasPermission(request,authentication)")
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/home")
            .and()
            .logout()
                .logoutSuccessUrl("/login")
            .and()
            .csrf().disable();
    }
    
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}