如何在基于MongoDB的Spring Security环境中动态限制路由？

嘿，我看你正在用Spring Security做用户权限控制，数据库选的是MongoDB，已经搞定了UserDetail和UserDetailService的实现，下面是你给出的WebSecurity配置代码整理：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public UserDetailsService mongoUserDetails() {
        return new CustomUserDetailsService();
    }

    @Bean
    public DaoAuthenticationProvider authProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider... // 代码未完成部分
    }
}

给你补充完整的配置示例 #

通常我们需要把DaoAuthenticationProvider配置完整，还要重写权限规则的配置方法，这里给你一个常用的完整配置模板：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public UserDetailsService mongoUserDetails() {
        return new CustomUserDetailsService();
    }

    // 配置密码编码器，这里用BCrypt示例，和注册时的加密方式保持一致
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public DaoAuthenticationProvider authProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        // 绑定自定义的UserDetailsService
        authProvider.setUserDetailsService(mongoUserDetails());
        // 设置密码编码器，用于验证密码
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 注册我们的认证提供者
        auth.authenticationProvider(authProvider());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 开放公共访问路径，比如登录页、静态资源
                .antMatchers("/login", "/css/**", "/js/**").permitAll()
                // 管理员路径需要ADMIN角色
                .antMatchers("/admin/**").hasRole("ADMIN")
                // 用户路径允许USER或ADMIN角色访问
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                // 其他所有请求都需要登录认证
                .anyRequest().authenticated()
            .and()
                // 配置表单登录
                .formLogin()
                .loginPage("/login") // 自定义登录页面的路径
                .defaultSuccessUrl("/dashboard") // 登录成功后的默认跳转页
                .permitAll()
            .and()
                // 配置退出登录
                .logout()
                .logoutSuccessUrl("/login?logout") // 退出成功后的跳转页
                .permitAll();
    }
}

几个关键注意点要记牢 #

• 你的CustomUserDetailsService一定要正确实现UserDetailsService的loadUserByUsername方法，从MongoDB中查询用户信息后，要封装成实现了UserDetails接口的实体类（比如自定义的User类），记得把用户的权限/角色也正确封装进去。
• 密码编码器要和用户注册时的加密逻辑一致，比如注册时用BCryptPasswordEncoder加密密码，认证时就必须用同一个编码器，否则密码验证会失败。
• 关于角色前缀：Spring Security默认会给hasRole方法的角色名称自动加上ROLE_前缀，如果你数据库里存的角色是ADMIN，用hasRole("ADMIN")就相当于匹配ROLE_ADMIN；如果数据库里存的是带前缀的ROLE_ADMIN，那可以用hasAuthority("ROLE_ADMIN")来匹配。

内容的提问来源于stack exchange，提问作者cool cool