如何在Apache Wicket中集成Spring Security角色层级实现授权？

背景 #

我已经在Wicket中配置了从Spring Security上下文获取角色，目前能通过@AuthorizeInstantiation直接指定角色列表控制页面访问：

@AuthorizeInstantiation({"ROLE_ADMIN", "ROLE_USER"})
public class HomePage extends BasePage

同时配置了Spring Security角色层级，让ROLE_ADMIN拥有ROLE_USER的权限：

@Bean
public RoleHierarchy roleHierarchy()
{
    RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
    roleHierarchy.setHierarchy("ROLE_ADMIN > ROLE_USER");
    return roleHierarchy;
}

这个层级在Spring Security的HTTP端点授权中能正常工作（比如/hello要求USER角色时，ADMIN也能访问），但希望在Wicket页面上能像Spring表达式那样简洁使用，比如：

// 示例无效代码，仅作演示
@AuthorizeInstantiation("hasRole('USER')")
public class HomePage extends BasePage

另外还有子问题：如果类级别无法实现这种简洁写法，有没有优雅的方式基于角色层级控制Wicket组件（比如BookmarkablePageLink）的渲染？

解决方案 #

一、类级别：实现支持角色层级的页面授权 #

Wicket默认的@AuthorizeInstantiation不支持Spring EL表达式，但可以通过自定义授权策略整合Spring的角色层级：

1. 自定义权限检查器
   实现IPermissionChecker，利用Spring的RoleHierarchy扩展用户角色后再做权限校验：

@Component
public class HierarchicalRolePermissionChecker implements IPermissionChecker {

    private final RoleHierarchy roleHierarchy;
    private final Authentication authentication;

    public HierarchicalRolePermissionChecker(RoleHierarchy roleHierarchy, Authentication authentication) {
        this.roleHierarchy = roleHierarchy;
        this.authentication = authentication;
    }

    @Override
    public boolean hasPermission(String permission) {
        // 解析"hasRole('XXX')"格式的表达式
        if (permission.startsWith("hasRole('")) {
            String targetRole = permission.substring(9, permission.length() - 2);
            targetRole = "ROLE_" + targetRole.toUpperCase(); // 适配Spring Security的角色前缀规则

            // 获取用户所有可继承的角色（包含层级关系的）
            Collection<? extends GrantedAuthority> authorities = roleHierarchy.getReachableGrantedAuthorities(authentication.getAuthorities());
            return authorities.stream()
                    .anyMatch(auth -> auth.getAuthority().equals(targetRole));
        }
        // 兼容原有直接指定角色的逻辑
        return authentication.getAuthorities().stream()
                .anyMatch(auth -> auth.getAuthority().equals(permission));
    }
}

2. 替换Wicket默认授权策略
   在Wicket的Application配置类中，替换为自定义的权限检查器：

public class WicketApplication extends WebApplication {

    @Autowired
    private HierarchicalRolePermissionChecker permissionChecker;

    @Override
    protected void init() {
        super.init();
        // 配置Spring Security集成，使用自定义权限检查器
        getSecuritySettings().setAuthorizationStrategy(new InstantiationAuthorizationStrategy(permissionChecker));
    }
}

3. 使用简洁表达式授权
   现在就能在@AuthorizeInstantiation中用类似Spring EL的写法，自动支持角色层级：

@AuthorizeInstantiation("hasRole('USER')")
public class HomePage extends BasePage

此时拥有ROLE_ADMIN的用户会因为角色层级继承，自动获得ROLE_USER的页面访问权限。

二、组件级别：控制组件渲染的优雅方案 #

如果类级别的方案暂时无法落地，或者需要更细粒度的组件控制，可以用以下两种方式：

方式1：自定义授权行为（AuthorizationBehavior）

封装一个集成角色层级检查的AuthorizationBehavior，直接给组件添加该行为即可控制可见性：

public class HierarchicalRoleAuthorizationBehavior extends AuthorizationBehavior {

    private final RoleHierarchy roleHierarchy;
    private final String requiredRole;

    public HierarchicalRoleAuthorizationBehavior(RoleHierarchy roleHierarchy, String requiredRole) {
        this.roleHierarchy = roleHierarchy;
        this.requiredRole = "ROLE_" + requiredRole.toUpperCase();
    }

    @Override
    protected boolean isAuthorized() {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication == null || !authentication.isAuthenticated()) {
            return false;
        }
        // 获取用户所有可继承的角色
        Collection<? extends GrantedAuthority> reachableAuthorities = roleHierarchy.getReachableGrantedAuthorities(authentication.getAuthorities());
        return reachableAuthorities.stream()
                .anyMatch(auth -> auth.getAuthority().equals(requiredRole));
    }
}

使用示例：

BookmarkablePageLink<Void> userLink = new BookmarkablePageLink<>("userLink", UserPage.class);
// 要求用户拥有USER角色（含继承的ADMIN角色）
userLink.add(new HierarchicalRoleAuthorizationBehavior(roleHierarchy, "USER"));
add(userLink);

不满足权限时，组件会自动隐藏，不会渲染到页面上。

方式2：在组件内部动态配置可见性

通过重写组件的onConfigure方法，结合角色层级检查动态控制可见性：

// 注入roleHierarchy实例
@Autowired
private RoleHierarchy roleHierarchy;

// ...

BookmarkablePageLink<Void> userLink = new BookmarkablePageLink<>("userLink", UserPage.class) {
    @Override
    protected void onConfigure() {
        super.onConfigure();
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication != null && authentication.isAuthenticated()) {
            Collection<? extends GrantedAuthority> reachableAuthorities = roleHierarchy.getReachableGrantedAuthorities(authentication.getAuthorities());
            // 检查是否拥有USER角色（含继承）
            setVisible(reachableAuthorities.stream().anyMatch(auth -> auth.getAuthority().equals("ROLE_USER")));
        } else {
            setVisible(false);
        }
    }
};
add(userLink);

这种方式更灵活，适合需要在组件内自定义逻辑的场景。

内容的提问来源于stack exchange，提问作者pogurek