【Spring Security入门】10-动态权限修改

最新推荐文章于 2025-06-11 21:45:24 发布

转载最新推荐文章于 2025-06-11 21:45:24 发布 · 1.6k 阅读

1 ·

CC 4.0 BY-SA版权

原文链接：http://www.spring4all.com/article/155

文章标签：

#Spring-Security

Spring Security的使用专栏收录该内容

19 篇文章

订阅专栏

本文介绍如何在SpringSecurity中动态地为用户增加权限，通过示例代码展示如何使用户从ROLE_USER升级到ROLE_VIP，进而访问特定的受保护资源。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前言

你需要知道 ROLE_XXX 在Spring Security 中的意义。

动态权限修改示例

    @GetMapping("/vip/test")
    @Secured("ROLE_VIP")         // 需要ROLE_VIP权限可访问
    public String vipPath() {
        return "仅 ROLE_VIP 可看";
    }

    @GetMapping("/vip")
    public boolean updateToVIP() {
        // 得到当前的认证信息
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        //  生成当前的所有授权
        List<GrantedAuthority> updatedAuthorities = new ArrayList<>(auth.getAuthorities());
        // 添加 ROLE_VIP 授权
        updatedAuthorities.add(new SimpleGrantedAuthority("ROLE_VIP"));
        // 生成新的认证信息
        Authentication newAuth = new UsernamePasswordAuthenticationToken(auth.getPrincipal(), auth.getCredentials(), updatedAuthorities);
        // 重置认证信息
        SecurityContextHolder.getContext().setAuthentication(newAuth);
        return true;
    }

假设当前你的权限只有 ROLE_USER。那么按照上面的代码：
1、直接访问 /vip/test 路径将会得到403的Response；
2、访问 /vip 获取 ROLE_VIP 授权，再访问 /vip/test 即可得到正确的Response。