如何在Spring Security 4中创建子级角色并控制JSP菜单权限？

嗨，这个需求我之前在项目里落地过，正好给你一步步拆解清楚：

1. 定义子角色并配置角色继承 #

首先，我们可以把customer的子角色定义为ROLE_CUSTOMER_A、ROLE_CUSTOMER_B、ROLE_CUSTOMER_C，同时让这些子角色自动继承ROLE_CUSTOMER的权限——这样拥有子角色的用户天然具备customer的基础权限，不用重复配置。

XML配置方式 #

如果用XML配置Spring Security，添加角色层级配置：

<security:http ...>
    <!-- 其他拦截规则、登录配置等 -->
</security:http>

<security:authentication-manager>
    <!-- 自定义认证提供者或默认用户配置 -->
</security:authentication-manager>

<!-- 角色继承关系配置 -->
<security:role-hierarchy>
    <security:role name="ROLE_CUSTOMER_A">
        <security:role name="ROLE_CUSTOMER"/>
    </security:role>
    <security:role name="ROLE_CUSTOMER_B">
        <security:role name="ROLE_CUSTOMER"/>
    </security:role>
    <security:role name="ROLE_CUSTOMER_C">
        <security:role name="ROLE_CUSTOMER"/>
    </security:role>
</security:role-hierarchy>

Java配置方式 #

如果是Java配置，需要配置RoleHierarchy bean来定义角色继承：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 自定义UserDetailsService等其他配置...

    @Bean
    public RoleHierarchy roleHierarchy() {
        RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
        // 用>表示继承关系，子角色在前，父角色在后
        String hierarchy = "ROLE_CUSTOMER_A > ROLE_CUSTOMER\n" +
                           "ROLE_CUSTOMER_B > ROLE_CUSTOMER\n" +
                           "ROLE_CUSTOMER_C > ROLE_CUSTOMER";
        roleHierarchy.setHierarchy(hierarchy);
        return roleHierarchy;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/customer/**").hasRole("CUSTOMER")
            .anyRequest().authenticated()
            .and()
            .formLogin(); // 登录相关配置
    }
}

2. 为用户分配对应的子角色 #

在用户认证环节（比如自定义UserDetailsService），要给不同客户用户返回对应的子角色权限。示例如下：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository; // 假设是你的用户数据DAO

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        UserPO user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }

        Set<GrantedAuthority> authorities = new HashSet<>();
        // 根据用户的子角色类型分配权限
        switch (user.getCustomerType()) {
            case "A":
                authorities.add(new SimpleGrantedAuthority("ROLE_CUSTOMER_A"));
                break;
            case "B":
                authorities.add(new SimpleGrantedAuthority("ROLE_CUSTOMER_B"));
                break;
            case "C":
                authorities.add(new SimpleGrantedAuthority("ROLE_CUSTOMER_C"));
                break;
            case "ADMIN":
                authorities.add(new SimpleGrantedAuthority("ROLE_ADMIN"));
                break;
            default:
                throw new RuntimeException("未知用户角色类型");
        }

        return new org.springframework.security.core.userdetails.User(
            user.getUsername(),
            user.getPassword(),
            authorities
        );
    }
}

3. 在JSP页面用Spring Security标签控制菜单展示 #

首先要在JSP页面引入Spring Security标签库：

<%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %>

然后就可以用<sec:authorize>标签根据角色差异化显示菜单了，示例如下：

<div class="sidebar-menu">
    <ul>
        <li><a href="/home">首页</a></li>
        
        <!-- 所有customer角色（含子角色）可见的基础菜单 -->
        <sec:authorize access="hasRole('CUSTOMER')">
            <li><a href="/customer/dashboard">客户中心</a></li>
        </sec:authorize>

        <!-- 仅Customer A可见的专属菜单 -->
        <sec:authorize access="hasRole('CUSTOMER_A')">
            <li><a href="/customer/a-exclusive">客户A专属数据报表</a></li>
        </sec:authorize>

        <!-- 仅Customer B可见的专属菜单 -->
        <sec:authorize access="hasRole('CUSTOMER_B')">
            <li><a href="/customer/b-exclusive">客户B专属订单管理</a></li>
        </sec:authorize>

        <!-- 仅Customer C可见的专属菜单 -->
        <sec:authorize access="hasRole('CUSTOMER_C')">
            <li><a href="/customer/c-exclusive">客户C专属服务申请</a></li>
        </sec:authorize>

        <!-- 仅Admin可见的菜单 -->
        <sec:authorize access="hasRole('ADMIN')">
            <li><a href="/admin/dashboard">管理后台</a></li>
        </sec:authorize>
    </ul>
</div>

这里要注意：hasRole('CUSTOMER')会自动拼接ROLE_前缀，等价于hasAuthority('ROLE_CUSTOMER')；如果需要精确匹配权限字符串，可以直接用hasAuthority方法。

4. 额外注意事项 #

• 确保项目引入了Spring Security标签库依赖（Maven示例）：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>4.2.13.RELEASE</version> <!-- 对应你的Spring Security版本 -->
</dependency>

• 角色名称大小写敏感，配置和代码中要保持一致；
• 如果遇到标签不生效的情况，检查web.xml中是否配置了Spring Security的过滤器链，确保请求经过Security拦截。

内容的提问来源于stack exchange，提问作者Penuketoff