第 19 章 保护方法调用

使用global-method-security和protect-point标签来管理全局范围的方法权限。

为了在spring中使用AOP，我们要为项目添加几个依赖库。

<dependency>
  <groupId>cglib</groupId>
  <artifactId>cglib-nodep</artifactId>
  <version>2.1_3</version>
</dependency>
<dependency>
  <groupId>org.aspectj</groupId>
  <artifactId>aspectjrt</artifactId>
  <version>1.6.4</version>
</dependency>
<dependency>
  <groupId>org.aspectj</groupId>
  <artifactId>aspectjweaver</artifactId>
  <version>1.6.4</version>
</dependency>
        

首先来看看我们将要保护的java类。

package com.family168.springsecuritybook.ch12;

public class MessageServiceImpl implements MessageService {
    public String adminMessage() {
        return "admin message";
    }

    public String adminDate() {
        return "admin " + System.currentTimeMillis();
    }
    public String userMessage() {
        return "user message";
    }

    public String userDate() {
        return "user " + System.currentTimeMillis();
    }
}
        

这里使用的是spring-2.0中的aop语法，对MessageService中所有以admin开头的方法进行权限控制，限制这些方法只能由ROLE_ADMIN调用。

<global-method-security>
    <protect-pointcut
        expression="execution(* com.family168.springsecuritybook.ch12.MesageServiceImpl.admin*(..))"
        access="ROLE_ADMIN"/>
</global-method-security>
        

现在只有拥有ROLE_ADMIN权限的用户才能调用MessageService中以admin开头的方法了，当我们以user/user登陆系统时，尝试调用MessageService类的adminMessage()会跑出一个“访问被拒绝”的异常。

在bean中嵌入intercept-methods和protect标签。

这需要改造配置文件。

<beans:bean id="messageService" class="com.family168.springsecuritybook.ch12.MessageServiceImpl">
    <intercept-methods>
        <protect access="ROLE_ADMIN" method="userMessage"/>
    </intercept-methods>
</beans:bean>
        

现在messageService中的userMessage()方法只允许拥有ROLE_ADMIN权限的用户才能调用了。

借助jdk5以后支持的annotation，我们直接在代码中设置某一方法的调用权限。

现在有两种选择，使用Spring Security提供的Secured注解，或者使用jsr250规范中定义的注解。

<global-method-security secured-annotations="enabled"/>
            

<dependency>
  <groupId>org.springframework.security</groupId>
  <artifactId>spring-security-core-tiger</artifactId>
  <version>2.0.4</version>
</dependency>
            

package com.family168.springsecuritybook.ch12;

import org.springframework.security.annotation.Secured;

public class MessageServiceImpl implements MessageService {
    @Secured({"ROLE_ADMIN", "ROLE_USER"})
    public String userMessage() {
        return "user message";
    }
}
            

<global-method-security secured-annotations="enabled"
                           jsr250-annotations="enabled"/>
            

<dependency>
  <groupId>javax.annotation</groupId>
  <artifactId>jsr250-api</artifactId>
  <version>1.0</version>
</dependency>
            

package com.family168.springsecuritybook.ch12;

import javax.annotation.security.DenyAll;
import javax.annotation.security.PermitAll;
import javax.annotation.security.RolesAllowed;

public class MessageServiceImpl implements MessageService {
    @RolesAllowed({"ROLE_ADMIN", "ROLE_USER"})
    public String userMessage() {
        return "user message";
    }

    @DenyAll
    public String userMessage2() {
        return "user message";
    }

    @PermitAll
    public String userMessage2() {
        return "user message";
    }
}