求助：Spring Security中OAuth(JWT)与ABAC的无缝整合方案

我来分享几个在Spring Security里整合OAuth2 JWT和ABAC的实用思路，帮你打通这两者的无缝衔接：

ABAC的核心是基于用户属性、资源属性、环境属性做权限判断，而用户的核心属性（比如部门、角色级别、用户ID）都存在JWT的Claims里。你需要在JWT验证通过后，把这些Claims提取并封装到Spring Security的Authentication对象中，这样ABAC校验时能直接拿到这些属性。

可以通过自定义JwtAuthenticationConverter实现这一点：

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter authoritiesConverter = new JwtGrantedAuthoritiesConverter();
    authoritiesConverter.setAuthorityPrefix("ROLE_");

    JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
    converter.setJwtGrantedAuthoritiesConverter(authoritiesConverter);
    
    // 自定义逻辑：把JWT所有Claims放到Authentication的details里
    converter.setPrincipalClaimName("sub");
    converter.setAccessTokenConverter(new JwtAccessTokenConverter() {
        @Override
        public OAuth2Authentication extractAuthentication(Map<String, ?> claims) {
            OAuth2Authentication auth = super.extractAuthentication(claims);
            auth.setDetails(claims); // 将Claims存入details，方便后续ABAC获取
            return auth;
        }
    });
    return converter;
}

然后在资源服务器配置中指定这个转换器：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .oauth2ResourceServer(oauth2 -> oauth2
            .jwt(jwt -> jwt
                .jwtAuthenticationConverter(jwtAuthenticationConverter())
            )
        )
        .authorizeHttpRequests(auth -> auth.anyRequest().authenticated());
    return http.build();
}

Spring Security的PermissionEvaluator是实现ABAC的核心入口，你可以在这里读取JWT中的用户属性，结合资源属性完成权限判断。

比如自定义一个权限 evaluator：

public class CustomAbacPermissionEvaluator implements PermissionEvaluator {

    @Override
    public boolean hasPermission(Authentication auth, Object targetResource, Object permission) {
        // 从Authentication details中取出JWT Claims
        Map<String, Object> userClaims = (Map<String, Object>) auth.getDetails();
        String userDept = (String) userClaims.get("department");
        String userRoleLevel = (String) userClaims.get("role_level");

        // 假设目标资源是一个带部门属性的实体
        Resource resource = (Resource) targetResource;
        String resourceDept = resource.getDepartment();

        // 实现ABAC规则：比如只有同部门且角色级别为"admin"的用户才能编辑资源
        return "edit".equals(permission) 
                && userDept.equals(resourceDept) 
                && "admin".equals(userRoleLevel);
    }

    @Override
    public boolean hasPermission(Authentication auth, Serializable targetId, String targetType, Object permission) {
        // 处理无实体对象的场景（比如根据ID查询资源属性）
        // 可根据targetId和targetType从数据库/缓存获取资源属性，再执行ABAC判断
        return false;
    }
}

然后在配置类中注册这个 evaluator：

@Configuration
@EnableMethodSecurity
public class MethodSecurityConfig {

    @Bean
    public MethodSecurityExpressionHandler methodSecurityExpressionHandler() {
        DefaultMethodSecurityExpressionHandler handler = new DefaultMethodSecurityExpressionHandler();
        handler.setPermissionEvaluator(new CustomAbacPermissionEvaluator());
        return handler;
    }
}

配置完成后，就可以在Controller或Service方法上用@PreAuthorize注解结合ABAC规则了：

@RestController
@RequestMapping("/resources")
public class ResourceController {

    // 只有满足ABAC规则的用户才能更新资源
    @PreAuthorize("hasPermission(#resource, 'edit')")
    @PutMapping
    public Resource updateResource(@RequestBody Resource resource) {
        // 业务逻辑
        return resource;
    }

    // 查看资源的规则：同部门即可
    @PreAuthorize("hasPermission(#resourceId, 'Resource', 'view')")
    @GetMapping("/{resourceId}")
    public Resource getResource(@PathVariable Long resourceId) {
        // 业务逻辑
        return resourceService.getById(resourceId);
    }
}

• 确保JWT包含必要属性：在令牌发放端（Authorization Server）生成JWT时，要把ABAC需要的用户属性（比如department、role_level）写入Claims，否则后续ABAC无属性可用。
• 规则外部化：如果ABAC规则复杂，建议把规则配置到数据库或配置文件中，不要硬编码在PermissionEvaluator里，方便动态调整。
• 性能优化：如果校验时需要查询资源属性，建议加入缓存，避免频繁访问数据库。

内容的提问来源于stack exchange，提问作者Joey Trang