在spring security中使用自定义方法安全注解

Question

我想使用自定义注释标记类中的方法，该注释将使用 Spring Security 控制授权决策。例如：

@Role("ADMIN")
public void accessControlledMethod(){}

我了解这意味着我需要以某种方式注册我的自定义注释“角色”，以便当AccessDecisionManager 做出授权决定时它可以导致ConfigAttributes 存在。但是，我不明白如何使用 spring security 注册我的自定义注释以便识别它。

我在框架代码中看到了一种潜在的解决方案。有一个名为 SecuredAnnotationSecurityMetadataSource 的类，其文档说“为自定义注释注入 AnnotationMetadataExtractor”。如果这是首选方法，我不确定如何配置 SecuredAnnotationSecurityMetadataSource 或如何将 AnnotationMetadataExtractor 注入其中。

Answer 1

您可以在您的配置中扩展GlobalMethodSecurityConfiguration：

@EnableGlobalMethodSecurity
@Configuration
public class MyMethodSecurityConfig extends GlobalMethodSecurityConfiguration {

    protected MethodSecurityMetadataSource customMethodSecurityMetadataSource() {
        return SecuredAnnotationSecurityMetadataSource(...);
    }    
}

在 xml 中，您可以：

<global-method-security metadata-source-ref="customMethodSecurityMetadataSource">
...
</global-method-security>
<bean id="customMethodSecurityMetadataSource"  class="org.springframework.security.access.annotation.SecuredAnnotationSecurityMetadataSource">
...
</bean>

customMethodSecurityMetadataSource 可以是 MethodSecurityMetadataSource 的任何实例

Answer 2

这在 Spring 5 中不起作用，因为默认 bean 覆盖默认是禁用的。它仅适用于将spring.main.allow-bean-definition-overriding 属性设置为true。

如果有人知道如何在不启用 bean 覆盖的情况下将自定义 MethodSecurityMetadataSource 添加到 GlobalMethodSecurityConfiguration，这将对更新的 Spring 版本有所帮助

Answer 3

在 Spring Boot 中，您可以通过覆盖 GlobalMethodSecurityConfiguration 中的相应方法并添加/修改超类中的值来添加自定义 MethodSecurityMetadataSources 和 AccessDecisionVoters。

@Configuration
@AutoConfigureAfter(SecurityConfiguration.class)
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class MethodSecurityConfiguration extends GlobalMethodSecurityConfiguration {
    @Override
    public MethodSecurityMetadataSource methodSecurityMetadataSource() {
        var source = (DelegatingMethodSecurityMetadataSource) super.methodSecurityMetadataSource();
        source.getMethodSecurityMetadataSources().add(new FooSecurityMetadataSource());
        return source;
    }

    @Override
    protected AccessDecisionManager accessDecisionManager() {
        var manager = (AffirmativeBased) super.accessDecisionManager();
        manager.getDecisionVoters().add(new FooVoter());
        return manager;
    }
}