Spring Security自定义GrantedAuthority前缀

如果我们正使用Spring Security提供默认的基于方法的权限认证注解如下：

@PreAuthorize("hasAnyRole('ADMIN', 'USER')")

public void moveTo(String id, String parentId) {

// ...

}

而在我们自定义实现的GrantedAuthority，或是SS提供的SimpleGrantedAuthority，

public interface GrantedAuthority extends Serializable {

/**

* 这里返回的即是hasAnyRole(..)中的角色

*/

String getAuthority();

}

这里的getAuthority需要加上”ROLE_”的前缀：

public final class SimpleGrantedAuthority implements GrantedAuthority {

private static final long serialVersionUID = SpringSecurityCoreVersion.SERIAL_VERSION_UID;

private final String role;

@Override

public String getAuthority() {

return "Role_" + role;

}

}

否则你会发现

@PreAuthorize 中的角色不能正确被识别，这是因为Spring Security框架内的DefaultMethodSecurityExpressionHandler

在验证表达式时是有”ROLE_”前缀的。

 

有人就问了，那我就是不想要这个前缀，怎么办？(其实这个人就是我)

 

两个办法，方法1：定义一个GrantedAuthorityDefaults并注入，that’s all

@Bean

GrantedAuthorityDefaults grantedAuthorityDefaults() {

return new GrantedAuthorityDefaults(""); // Remove the ROLE_ prefix

}

 

方法2：在WebSecurityConfigurerAdapter自定义实现中，重写方法，替换默认的DefaultWebSecurityExpressionHandler设置

 

@Override

public void configure(WebSecurity web) throws Exception {

web.expressionHandler(new DefaultWebSecurityExpressionHandler() {

@Override

protected SecurityExpressionOperations createSecurityExpressionRoot(Authentication authentication, FilterInvocation fi) {

WebSecurityExpressionRoot root = (WebSecurityExpressionRoot) super.createSecurityExpressionRoot(authentication, fi);

root.setDefaultRolePrefix(""); //remove the prefix ROLE_

return root;

}

});

}