SpringSecurity权限控制

web权限方案
1.设置登录的用户名和密码
第一种方式：通过配置文件

第二种方式：通过配置类

第三种方式:自定义编写实现类

2.基于角色或权限的访问
hasauthority方法
在配置类设置当前访问地址的路径

csrf
跨站请求伪造，通过伪造用户请求访问受信任站点的非法请求访问
跨域：只要网络协议，ip地址，端口中任何一个不相同就是跨域请求

客户端与服务进行交互的时候，由于http协议本身是无状态协议，所以引入了cookie进行记录客户端身份。在cookie中会存放session id用来识别客户端身份的。在跨域的情况下，session id 可能被第三方恶意劫持，通过这个session id想服务端发起请求，服务端会认为这个请求是合法的。

常用注解
@Secured
用户具有某个角色，可以访问方法
1.在启动类中加入注解@EnableGlobalMethodSecurity
2.在controller的方法上面加上@Secured（{ROLE_…}）
拥有role角色才可以访问该方法

@PreAuthorize
1.开启注解
2.@PreAuthorize（""hasAnyAuthority(“admins”)）
在方法执行之前进行校验权限

@PostAuthorize
在方法执行之后校验权限

用户注销
1.在配置类添加退出的配置

自动登录
原理