Spring Security角色权限处理

在Spring Security中，角色权限的处理是安全认证的核心环节。本文将对比分析两种常见的角色权限实现方式：基于注解的权限控制和基于表达式的访问控制。

基于注解的权限控制

使用@PreAuthorize和@PostAuthorize注解是最直观的方式。例如：

@RestController
public class UserController {
    @GetMapping("/admin")
    @PreAuthorize("hasRole('ADMIN')")
    public String admin() {
        return "管理员访问";
    }
    
    @GetMapping("/user/{id}")
    @PreAuthorize("hasRole('USER') and #id == authentication.principal.id")
    public String getUser(@PathVariable Long id) {
        return "用户信息";
    }
}

基于表达式的访问控制

通过配置ExpressionBasedAuthorizationManager实现更灵活的权限控制：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests(authz -> authz
            .requestMatchers("/admin/**").hasRole("ADMIN")
            .requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
            .anyRequest().authenticated()
        );
    }
}

实际应用建议

对于复杂业务场景，推荐结合使用注解和配置方式。注解适合方法级别的细粒度控制，配置适合URL级别的统一管理。

安全最佳实践

1. 禁止使用permitAll()作为默认策略
2. 启用CSRF保护
3. 配置适当的会话管理策略
4. 使用安全的认证方式如JWT或OAuth2