Spring security 如何理解用户角色是什么？

Question

我有一个问题。我有以下配置

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
      auth.jdbcAuthentication().dataSource(dataSource)
                .usersByUsernameQuery(
                        "select username,password, enabled from user where username=?")
                .authoritiesByUsernameQuery(
                        "select username, role from user inner join role on user.role_id = role.id where username=?").passwordEncoder(passwordencoder());
    }

    @Bean(name="passwordEncoder")
    public Md5PasswordEncoder passwordencoder(){
        return new Md5PasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        CharacterEncodingFilter filter = new CharacterEncodingFilter();
        filter.setEncoding("UTF-8");
        filter.setForceEncoding(true);
        http.addFilterBefore(filter,CsrfFilter.class);
        http.
                formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/add-ticket")
                .failureUrl("/"); 
        http
                .authorizeRequests()
                .antMatchers("/add-ticket").hasRole("ADMIN");
    }
}

问题是 Spring 安全性如何理解用户角色是什么？我的意思是，它在授权后会在会话中保存一些信息还是什么？例如，它将用户名保存在会话中，并且每个请求都通过用户名从数据库中获取角色？我不明白这一点。你能帮忙吗？

Answer 1

一旦用户获得授权，Spring 会将他的角色保留在 GrantedAuthority 对象中。例如。在GrantedAuthority 实现中：SimpleGrantedAuthority wchich 只有一个字段 -> role。

所有权限都保存在Authentication 对象中 wchich 保存在SecurityContext wchich 与当前执行线程相关联。