具有保护切入点的 Spring 方法安全性

原文： https://howtodoinjava.com/spring-security/xml-config-based-method-level-spring-security-using-protect-pointcut/

在方法级别安全性的先前示例中，我们使用@PreAuthorize注解添加了安全性。注解也是在任何方法上增加安全性的好方法和快速方法。但是有一个问题，它将您的应用程序代码紧紧地耦合到 Spring 上。至少在理论上就最佳做法而言，这都是不推荐的。推荐的方法是将所有此类安全性定义添加到 xml 配置文件中。这样，您始终可以更改实现而无需触碰源代码。

总览

在此示例中，我使用了典型的员工管理屏幕。有两个基本操作，ADD和DELETE。

添加要求经过身份验证的用户具有"ROLE_USER"或"ROLE_ADMIN"。
删除受到更多保护，并且需要管理员访问权限，即仅允许ROLE_ADMIN删除用户。

我在应用程序中有两个用户，即admin和lokesh。 admin用户同时具有“ ROLE_USER”和“ ROLE_ADMIN”角色，但另一个用户lokesh仅具有“ ROLE_USER”访问权限。

applicationContext.xml

<user-service>
	<user name="lokesh" password="password" authorities="ROLE_USER" />
	<user name="admin"  password="password" authorities="ROLE_USER,ROLE_ADMIN" />
</user-service>

上面的安全配置将允许两个用户都添加用户，但是只有admin才能够删除用户。

让我们看一下示例应用程序中的主要功能点。

使用保护切入点的基于 XML 的 Spring Security

完整的 XML 配置如下所示：

applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
	xmlns:beans="http://www.springframework.org/schema/beans" 
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans
	http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
	http://www.springframework.org/schema/security
	http://www.springframework.org/schema/security/spring-security-3.0.3.xsd">

	<global-method-security>
		<protect-pointcut expression="execution(* com.howtodoinjava.service.*Impl.add*(..))" access="ROLE_USER"/>
		<protect-pointcut expression="execution(* com.howtodoinjava.service.*Impl.delete*(..))" access="ROLE_ADMIN"/>
	</global-method-security>

	<http auto-config="false"  use-expressions="true">
		<intercept-url pattern="/login" access="permitAll" />
		<intercept-url pattern="/logout" access="permitAll" />
		<intercept-url pattern="/accessdenied" access="permitAll" />
		<intercept-url pattern="/**" access="hasRole('ROLE_USER')" />
		<form-login login-page="/login" default-target-url="/list" authentication-failure-url="/accessdenied" />
		<logout logout-success-url="/logout" />
	</http>

	<authentication-manager alias="authenticationManager">
        <authentication-provider>
            <user-service>
                <user name="lokesh" password="password" authorities="ROLE_USER" />
                <user name="admin" password="password" authorities="ROLE_USER,ROLE_ADMIN" />
            </user-service>
        </authentication-provider>
    </authentication-manager>

    <beans:bean id="employeeDAO" class="com.howtodoinjava.dao.EmployeeDaoImpl" />
    <beans:bean id="employeeManager" class="com.howtodoinjava.service.EmployeeManagerImpl" />

</beans:beans>

应用安全性的管理器类

EmployeeManagerImpl.java

package com.howtodoinjava.service;

import java.util.List;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
import org.springframework.transaction.annotation.Transactional;

import com.howtodoinjava.dao.EmployeeDAO;
import com.howtodoinjava.entity.EmployeeEntity;

@Service
public class EmployeeManagerImpl implements EmployeeManager {

	@Autowired
    private EmployeeDAO employeeDAO;

	@Override
	@Transactional
	public void addEmployee(EmployeeEntity employee) {
		employeeDAO.addEmployee(employee);
	}

	@Override
	@Transactional
	public List<EmployeeEntity> getAllEmployees() {
		return employeeDAO.getAllEmployees();
	}

	@Override
	@Transactional
	public void deleteEmployee(Integer employeeId) {
		employeeDAO.deleteEmployee(employeeId);
	}

	public void setEmployeeDAO(EmployeeDAO employeeDAO) {
		this.employeeDAO = employeeDAO;
	}
}