🌟Spring Security 權限配置詳解：從基礎到進階

Spring Security 是一個功能強大、可高度自定義的安全框架，主要用于為基于 Spring 的應用程序提供身份驗證和授權功能。
本篇文章將帶你深入理解 Spring Security 的權限配置機制，掌握從用戶認證到權限控制的核心配置方式。

---

一、Spring Security 的核心概念

在開始配置之前，先簡單了解幾個核心名詞：

名詞	說明
Authentication	認證，驗證用戶身份（用戶名+密碼）
Authorization	授權，判斷當前用戶是否有訪問某資源的權限
SecurityContext	安全上下文，保存當前用戶的認證信息
UserDetailsService	加載用戶信息的接口
GrantedAuthority	授權對象，表示用戶擁有的權限
SecurityFilterChain	Spring Security 的過濾器鏈配置入口

---

二、Spring Security 權限配置方式概覽

權限控制一般包含以下幾種形式：

1. 基于 URL 路徑 的權限控制（最常用）
2. 基于 方法注解 的權限控制（如 @PreAuthorize）
3. 自定義 AccessDecisionManager 權限決策器

---

三、配置示例：Spring Boot + Spring Security 權限控制

1. 引入依賴

<!-- Spring Security 依賴 -->
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId>
</dependency>

---

2. 基礎配置類

使用 SecurityFilterChain 代替舊版 WebSecurityConfigurerAdapter：

@Configuration
@EnableMethodSecurity  // 啟用方法級權限控制
public class SecurityConfig {@Beanpublic SecurityFilterChain filterChain(HttpSecurity http) throws Exception {return http.authorizeHttpRequests(auth -> auth.requestMatchers("/admin/**").hasRole("ADMIN").requestMatchers("/user/**").hasAnyRole("USER", "ADMIN").requestMatchers("/", "/login").permitAll().anyRequest().authenticated()).formLogin(login -> login.loginPage("/login").defaultSuccessUrl("/home").permitAll()).logout(logout -> logout.logoutUrl("/logout").logoutSuccessUrl("/login")).csrf(csrf -> csrf.disable()).build();}
}

---

3. 自定義用戶信息（UserDetailsService）

@Service
public class MyUserDetailsService implements UserDetailsService {@Overridepublic UserDetails loadUserByUsername(String username) {// 模擬從數據庫中查詢if ("admin".equals(username)) {return User.withUsername("admin").password("{noop}admin123") // {noop}表示明文密碼.roles("ADMIN").build();} else if ("user".equals(username)) {return User.withUsername("user").password("{noop}user123").roles("USER").build();}throw new UsernameNotFoundException("用戶不存在");}
}

---

四、基于注解的權限控制（推薦）

Spring Security 支持通過注解方式對方法或類進行權限控制：

@RestController
@RequestMapping("/data")
public class DataController {@GetMapping("/admin")@PreAuthorize("hasRole('ADMIN')")public String adminData() {return "這是管理員數據";}@GetMapping("/user")@PreAuthorize("hasAnyRole('USER','ADMIN')")public String userData() {return "這是用戶數據";}
}

常用注解說明

注解	說明
@PreAuthorize	方法執行前權限判斷
@PostAuthorize	方法執行后權限判斷
@Secured("ROLE_ADMIN")	只允許指定角色訪問（默認需加 ROLE_）

---

五、自定義權限判斷表達式

假如你想用業務邏輯判斷權限，可以這樣：

@PreAuthorize("@authService.canAccess(#userId)")
public String getUserData(Long userId) {return "業務數據";
}

在 AuthService 中定義權限邏輯：

@Component
public class AuthService {public boolean canAccess(Long userId) {// 獲取當前登錄用戶的 IDAuthentication auth = SecurityContextHolder.getContext().getAuthentication();String currentUsername = auth.getName();// 自定義邏輯，比如根據用戶名判斷是否有權限查看這個 userIdreturn true;}
}

---

六、權限控制最佳實踐

• 權限與角色分離：不要把角色當權限用，系統更復雜時建議獨立權限表。
• 接口權限控制+方法權限控制雙保險。
• 菜單權限與接口權限綁定，提升用戶體驗。
• 使用數據庫動態加載權限，支持多角色多權限靈活管理。

---

七、總結

Spring Security 提供了強大且靈活的權限控制機制，支持從 URL 到方法粒度的精細化配置。通過自定義 UserDetailsService、SecurityFilterChain 和注解控制權限，我們可以輕松實現企業級權限管理。

? 核心關鍵詞回顧：

• SecurityFilterChain
• UserDetailsService
• @PreAuthorize
• hasRole / hasAuthority
• 動態權限 + 自定義判斷邏輯

---