基于Spring Security角色层级获取权限的实现方法

1. 配置角色层级 #

先在Spring配置类中定义角色继承关系，让ROLE_ADMIN自动拥有ROLE_USER的权限：

@Bean
public RoleHierarchy roleHierarchy() {
    RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
    roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
    return roleHierarchy;
}

@Bean
public DefaultWebSecurityExpressionHandler webSecurityExpressionHandler() {
    DefaultWebSecurityExpressionHandler handler = new DefaultWebSecurityExpressionHandler();
    handler.setRoleHierarchy(roleHierarchy());
    return handler;
}

这个配置会让Spring Security在权限校验时，自动将ROLE_ADMIN的权限范围扩展到包含ROLE_USER的所有权限。

2. 自定义UserDetailsService从数据库加载权限 #

实现UserDetailsService接口，从数据库查询用户关联的角色及对应权限，封装成Spring Security需要的UserDetails对象：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;
    @Autowired
    private RoleRepository roleRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 一次性加载用户、角色、权限，避免N+1查询
        User user = userRepository.findByUsernameWithRolesAndPrivileges(username)
                .orElseThrow(() -> new UsernameNotFoundException("用户不存在: " + username));

        Set<GrantedAuthority> authorities = new HashSet<>();
        // 添加角色本身（Spring Security中角色是带ROLE_前缀的特殊权限）
        user.getRoles().forEach(role -> {
            authorities.add(new SimpleGrantedAuthority(role.getName()));
            // 添加角色关联的具体权限
            role.getPrivileges().forEach(privilege -> 
                authorities.add(new SimpleGrantedAuthority(privilege.getName()))
            );
        });

        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                authorities
        );
    }
}

注意事项 #

• 数据库需建立正确的关联关系：用户-角色（多对多）、角色-权限（多对多）。
• 在UserRepository中添加关联查询方法优化性能：

@Query("SELECT u FROM User u JOIN FETCH u.roles r JOIN FETCH r.privileges WHERE u.username = :username")
Optional<User> findByUsernameWithRolesAndPrivileges(@Param("username") String username);

3. 配置SecurityConfig启用自定义服务 #

在安全配置类中指定使用自定义的UserDetailsService，并开启权限校验：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/api/admin/**").hasRole("ADMIN")
                .antMatchers("/api/user/**").hasRole("USER")
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .and()
                .csrf().disable();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

核心逻辑说明 #

• 角色层级配置后，ROLE_ADMIN会自动继承ROLE_USER的所有权限，无需在数据库中重复配置。
• UserDetailsService的核心职责是准确加载用户的所有角色及对应权限，Spring Security会结合角色层级自动处理权限继承逻辑，确保拥有ROLE_ADMIN的用户能同时使用READ_POST、READ_MESSAGE、EDIT_POST、EDIT_MESSAGE这些权限。

内容的提问来源于stack exchange，提问作者Thai Nguyen