S04L13 - 继续添加具有角色和权限的用户

html

通过角色和权限增强Spring应用程序：综合指南
目录

介绍.........................................................1
理解Spring中的角色和权限...........................3
在Spring中配置延迟加载............................................6
实现角色和权限........................................10

修改账户模型..................................................11
更新控制器.................................................................15


创建管理员面板和保护端点........................19
测试实现........................................................23
结论.................................................................27


介绍
在不断发展的网络开发领域，保护应用程序至关重要。随着应用程序复杂性的增加，管理用户角色和权限变得至关重要，以确保用户具有适当的访问级别。本电子书深入探讨了通过整合角色和权限来增强基于Spring的应用程序，提供了一种结构化的方法来实施强大的安全机制。
重要性和目的
有效管理用户角色和权限确保只有授权用户才能访问应用程序中的特定功能。通过利用Spring Security的功能，开发人员可以创建既安全又可扩展的应用程序。
优缺点
优点：

增强的安全性：限制对应用程序敏感区域的访问。
可扩展性：随着应用程序的增长，轻松管理角色。
灵活性：可定制的权限结构以适应各种需求。

缺点：

复杂性：对于初学者来说，初始设置可能比较复杂。
维护：随着角色的发展，需持续管理。

何时何地使用角色和权限
在用户访问控制至关重要的应用程序中实现角色和权限，例如：

电子商务平台：为客户、供应商和管理员设置不同的访问级别。
企业应用程序：根据部门和角色划分访问权限。
内容管理系统：控制谁可以创建、编辑或发布内容。


理解Spring中的角色和权限
什么是角色和权限？
在Spring Security中，roles代表高级别的权限，通常以ROLE_为前缀，而authorities是定义应用程序中特定访问权限的细粒度权限。
关键概念

Roles: 广泛的权限类别（例如，ADMIN, USER）。
Authorities: 与角色相关联的具体权限（例如，READ_PRIVILEGE, WRITE_PRIVILEGE）。

比较表


特点
Roles
Authorities


定义
高级别权限
细粒度访问权限


用法
分组权限
具体操作权限


前缀约定
通常以ROLE_为前缀
无需前缀


例子
ROLE_ADMIN
READ_PRIVILEGE, WRITE_PRIVILEGE



在Spring中配置延迟加载
延迟加载介绍
Lazy Loading是一种设计模式，延迟对象的初始化，直到需要时才进行。在Spring中，这对于处理相关实体尤为有用，可以防止由于未初始化的代理而导致应用程序崩溃。
启用延迟加载
默认情况下，Spring不启用延迟加载。要启用它，您必须调整应用程序的配置设置。
逐步配置

更新应用程序属性：
在application.properties文件中添加以下设置以启用延迟加载：
    




		
		
			
			
Java
			
			spring.jpa.hibernate.enable_lazy_load_no_trans=true
    
			
				
					
				
					1
2
				
						spring.jpa.hibernate.enable_lazy_load_no_trans=true
    
					
				
			
		



验证配置：
确保设置正确放置，并且应用程序重新加载时没有错误。


延迟加载的影响
启用延迟加载通过仅在必要时加载数据来优化性能。然而，不正确的配置可能导致LazyInitializationException等问题，因此必须小心管理会话。

实现角色和权限
概述
实现角色和权限涉及修改数据模型、更新控制器以及配置安全设置，以有效管理用户权限。
修改账户模型
目标：将角色和权限整合到Account模型中，以管理用户权限。
步骤：

定义Authority实体：

    



		
		
			
			
Java
			
			@Entity
public class Authority {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String name;

    // Getters and Setters
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
				
						@Entity
public class Authority {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
 
    private String name;
 
    // Getters and Setters
}
 
					
				
			
		



更新Account实体：

    



		
		
			
			
Java
			
			@Entity
public class Account {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String email;
    private String password;

    @ManyToMany(fetch = FetchType.LAZY)
    private Set<Authority> authorities = new HashSet<>();

    // Getters and Setters
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
				
						@Entity
public class Account {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
 
    private String email;
    private String password;
 
    @ManyToMany(fetch = FetchType.LAZY)
    private Set<Authority> authorities = new HashSet<>();
 
    // Getters and Setters
}
 
					
				
			
		



启用延迟加载：
确保authorities集合以懒加载方式获取，以优化性能。


代码解释
Account实体现在与Authority实体具有多对多关系，允许每个账户拥有多个权限。延迟加载确保只有在显式访问时才加载权限。
更新控制器
目标：修改现有控制器，以适当处理角色和权限。
步骤：

更新Security配置：

    



		
		
			
			
Java
			
			@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/**").permitAll()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .logoutSuccessUrl("/")
                .permitAll();
    }

    // Other configurations
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
				
						@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/**").permitAll()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .logoutSuccessUrl("/")
                .permitAll();
    }
 
    // Other configurations
}
 
					
				
			
		



修改Home Controller：

    



		
		
			
			
Java
			
			@Controller
public class HomeController {

    @GetMapping("/")
    public String home() {
        return "home";
    }

    @GetMapping("/login")
    public String login() {
        return "login";
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
				
						@Controller
public class HomeController {
 
    @GetMapping("/")
    public String home() {
        return "home";
    }
 
    @GetMapping("/login")
    public String login() {
        return "login";
    }
}
 
					
				
			
		



创建Admin Controller：

    



		
		
			
			
Java
			
			@Controller
@RequestMapping("/admin")
public class AdminController {

    @GetMapping
    public String adminPanel(Model model) {
        model.addAttribute("message", "Welcome to the Admin Panel");
        return "admin";
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
				
						@Controller
@RequestMapping("/admin")
public class AdminController {
 
    @GetMapping
    public String adminPanel(Model model) {
        model.addAttribute("message", "Welcome to the Admin Panel");
        return "admin";
    }
}
 
					
				
			
		




代码解释

Security配置：定义访问规则，确保只有拥有ADMIN角色的用户才能访问/admin/**下的端点。
Home Controller：管理主页和登录等常规路由。
Admin Controller：处理管理员特定的路由，返回带有欢迎消息的admin视图。

为用户添加权限
目标：根据用户的角色为用户分配特定权限。
步骤：

更新种子数据：

    



		
		
			
			
Java
			
			@Component
public class SeedData implements CommandLineRunner {

    @Autowired
    private AuthorityRepository authorityRepository;

    @Autowired
    private AccountRepository accountRepository;

    @Override
    public void run(String... args) throws Exception {
        Authority adminAuth = new Authority();
        adminAuth.setName("ROLE_ADMIN");
        authorityRepository.save(adminAuth);

        Authority userAuth = new Authority();
        userAuth.setName("ROLE_USER");
        authorityRepository.save(userAuth);

        Account admin = new Account();
        admin.setEmail("admin@admin.com");
        admin.setPassword(new BCryptPasswordEncoder().encode("pass987"));
        admin.getAuthorities().add(adminAuth);
        accountRepository.save(admin);

        Account user = new Account();
        user.setEmail("user@user.com");
        user.setPassword(new BCryptPasswordEncoder().encode("pass987"));
        user.getAuthorities().add(userAuth);
        accountRepository.save(user);
    }
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
				
						@Component
public class SeedData implements CommandLineRunner {
 
    @Autowired
    private AuthorityRepository authorityRepository;
 
    @Autowired
    private AccountRepository accountRepository;
 
    @Override
    public void run(String... args) throws Exception {
        Authority adminAuth = new Authority();
        adminAuth.setName("ROLE_ADMIN");
        authorityRepository.save(adminAuth);
 
        Authority userAuth = new Authority();
        userAuth.setName("ROLE_USER");
        authorityRepository.save(userAuth);
 
        Account admin = new Account();
        admin.setEmail("[email protected]");
        admin.setPassword(new BCryptPasswordEncoder().encode("pass987"));
        admin.getAuthorities().add(adminAuth);
        accountRepository.save(admin);
 
        Account user = new Account();
        user.setEmail("[email protected]");
        user.setPassword(new BCryptPasswordEncoder().encode("pass987"));
        user.getAuthorities().add(userAuth);
        accountRepository.save(user);
    }
}
 
					
				
			
		




代码解释
SeedData类在数据库中初始化预定义的角色和用户。它创建ADMIN和USER权限，并将它们分配给相应的账户，确保应用程序启动时有具有适当角色的用户。

创建管理员面板和保护端点
构建管理员界面
目标：创建仅对拥有ADMIN角色的用户可访问的管理员面板。
步骤：

创建管理员HTML模板：

    



		
		
			
			
Java
			
			<!-- src/main/resources/templates/admin.html -->
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Admin Panel</title>
    <link rel="stylesheet" th:href="@{/css/style.css}">
</head>
<body>
    <h1 th:text="${message}">Admin Panel</h1>
    <a th:href="@{/logout}">Logout</a>
</body>
</html>

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
				
						<!-- src/main/resources/templates/admin.html -->
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Admin Panel</title>
    <link rel="stylesheet" th:href="@{/css/style.css}">
</head>
<body>
    <h1 th:text="${message}">Admin Panel</h1>
    <a th:href="@{/logout}">Logout</a>
</body>
</html>
 
					
				
			
		



更新Header片段：

    



		
		
			
			
Java
			
			<!-- src/main/resources/templates/fragments/header.html -->
<header>
    <nav>
        <a th:href="@{/}">Home</a>
        <span th:if="${#request.remoteUser != null}">
            <a th:href="@{/logout}">Logout</a>
        </span>
        <span th:if="${#authorization.expression('hasRole(\'ADMIN\')')}">
            <a th:href="@{/admin}">Admin Panel</a>
        </span>
    </nav>
</header>

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
				
						<!-- src/main/resources/templates/fragments/header.html -->
<header>
    <nav>
        <a th:href="@{/}">Home</a>
        <span th:if="${#request.remoteUser != null}">
            <a th:href="@{/logout}">Logout</a>
        </span>
        <span th:if="${#authorization.expression('hasRole(\'ADMIN\')')}">
            <a th:href="@{/admin}">Admin Panel</a>
        </span>
    </nav>
</header>
 
					
				
			
		




代码解释

管理员HTML模板：显示欢迎消息和登出链接。message属性由AdminController填充。
Header片段：根据用户认证和角色动态显示导航链接。管理员面板链接仅对拥有ADMIN角色的用户可见。

保护端点
目标：确保特定端点仅对授权角色可访问。
步骤：

在Security配置中定义访问规则：
如前一节所示，/admin/**端点需要ADMIN角色。

处理未经授权的访问：

    



		
		
			
			
Java
			
			@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/**").permitAll()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .logoutSuccessUrl("/")
            .permitAll()
            .and()
        .exceptionHandling()
            .accessDeniedPage("/access-denied");
}

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
				
						@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/**").permitAll()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .logoutSuccessUrl("/")
            .permitAll()
            .and()
        .exceptionHandling()
            .accessDeniedPage("/access-denied");
}
 
					
				
			
		



创建访问被拒绝页面：

    



		
		
			
			
Java
			
			<!-- src/main/resources/templates/access-denied.html -->
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Access Denied</title>
    <link rel="stylesheet" th:href="@{/css/style.css}">
</head>
<body>
    <h1>Access Denied</h1>
    <p>You do not have permission to access this page.</p>
    <a th:href="@{/}">Return Home</a>
</body>
</html>

			
				
					
				
					1
2
3
4
5
6
7
8
9
10
11
12
13
14
				
						<!-- src/main/resources/templates/access-denied.html -->
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Access Denied</title>
    <link rel="stylesheet" th:href="@{/css/style.css}">
</head>
<body>
    <h1>Access Denied</h1>
    <p>You do not have permission to access this page.</p>
    <a th:href="@{/}">Return Home</a>
</body>
</html>
 
					
				
			
		




代码解释

访问规则：只有拥有ADMIN角色的用户才能访问/admin/**端点。所有其他端点对所有人开放。
异常处理：将未经授权的访问尝试重定向到自定义的访问被拒绝页面，增强用户体验。


测试实现
验证基于角色的访问
目标：确保角色和权限在应用程序内被正确执行。
步骤：

启动应用程序：
使用提供的SpringBlogApplication.java运行Spring Boot应用程序。

访问应用程序：
导航到 http://localhost:8080。

测试管理员访问：

以管理员身份登录：

Email: [email protected]
Password: pass987


验证管理员面板的可见性：

登录后，管理员面板链接应可见。
访问 http://localhost:8080/admin 查看管理员面板。




测试用户访问：

以用户身份登录：

Email: [email protected]
Password: pass987


验证管理员面板的不可见性：

管理员面板链接应不可见。
尝试访问 http://localhost:8080/admin 应重定向到访问被拒绝页面。





示例输出


User Type
Admin Panel Link Visible
Access to /admin


Admin
Yes
Granted


User
No
Denied


调试常见问题

LazyInitializationException：确保延迟加载配置正确，并且会话管理得当。
角色前缀不正确：角色应以ROLE_为前缀，以符合Spring Security惯例。
缺少权限：验证用户在种子数据中是否分配了正确的权限。


结论
在Spring应用程序中实现角色和权限对于构建安全且可扩展的系统至关重要。通过遵循本指南中概述的结构化方法，开发人员可以有效地管理用户权限，确保只有授权用户才能访问敏感功能。虽然初始设置可能比较复杂，但增强的安全性和可维护性的长期收益是无价的。
主要收获

Roles vs. Authorities: 理解角色和权限的区别及其适当用法。
Lazy Loading: 正确配置延迟加载以优化性能并防止应用程序崩溃。
Security Configuration: 定义清晰的访问规则，根据用户角色保护端点。
Dynamic UI Elements: 在模板中使用条件渲染，根据用户权限显示导航选项。
Testing: 严格测试基于角色的访问，确保安全措施按预期工作。

SEO优化关键词
Spring Security, roles and authorities, lazy loading in Spring, Spring Boot security, user authentication, role-based access control, Spring MVC security, implementing roles in Spring, securing Spring applications, Spring Security configuration, admin panel in Spring, Spring Boot roles, authority-based access, Spring Security tutorial, Spring roles vs authorities
注意：本文由AI生成。
特点	Roles	Authorities
定义	高级别权限	细粒度访问权限
用法	分组权限	具体操作权限
前缀约定	通常以`ROLE_`为前缀	无需前缀
例子	`ROLE_ADMIN`	`READ_PRIVILEGE`, `WRITE_PRIVILEGE`