做企业网站 需要那些功能深圳小程序开发公司

[Java实战]Spring Boot 3实现 RBAC 权限控制（二十五）

一、RBAC 权限控制简介

RBAC（Role-Based Access Control，基于角色的访问控制）是一种常见的权限管理模型，通过为用户分配角色，再为角色分配权限，从而实现对资源的访问控制。这种模型简化了权限管理，提高了系统的安全性和可维护性。

二、项目结构设计

在 Spring Boot 项目中实现 RBAC 权限控制，通常需要以下模块：

• 用户模块（User）：存储用户的基本信息，如用户名、密码等。
• 角色模块（Role）：定义系统中的角色，如管理员、普通用户等。
• 权限模块（Permission）：定义具体的权限，如访问特定接口、操作特定数据等。
• 用户角色关系模块（UserRole）：关联用户和角色。
• 角色权限关系模块（RolePermission）：关联角色和权限。

三、数据库设计

以下是实现 RBAC 权限控制所需的数据库表结构：

1. 用户表（users）
   • id：用户ID
   • username：用户名
   • password：密码
2. 角色表（roles）
   • id：角色ID
   • name：角色名称
3. 权限表（permissions）
   • id：权限ID
   • name：权限名称
4. 用户角色关系表（user_roles）
   • user_id：用户ID
   • role_id：角色ID
5. 角色权限关系表（role_permissions）
   • role_id：角色ID
   • permission_id：权限ID

四、Spring Security 配置

使用 Spring Security 配置 RBAC 权限控制，需要实现以下步骤：

1. 配置 Spring Security
   • 添加 @EnableWebSecurity 注解，启用 Spring Security 配置。
   • 配置 HttpSecurity，定义哪些请求需要认证，哪些请求需要特定角色。
   • 配置 AuthenticationManager，用于用户认证。
2. 实现 UserDetailsService
   • 从数据库加载用户信息，包括用户名、密码和角色。
   • 为用户分配角色和权限。
3. 配置 JWT 令牌
   • 使用 JWT 令牌进行用户认证和授权。
   • 在请求中验证 JWT 令牌，提取用户信息和角色。

五、代码实现

以下是实现 RBAC 权限控制的关键代码：

1. 安全配置类（SecurityConfig）

@Configuration
@EnableWebSecurity
public class SecurityConfig {@Autowiredprivate UserDetailsService userDetailsService;@Autowiredprivate JwtRequestFilter jwtRequestFilter;@Beanpublic PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();}@Beanpublic SecurityFilterChain filterChain(HttpSecurity http) throws Exception {http.csrf(AbstractHttpConfigurer::disable).authorizeHttpRequests(auth -> auth.requestMatchers("/api/auth/**").permitAll().requestMatchers("/api/admin/**").hasRole("ADMIN").requestMatchers("/api/user/**").hasAnyRole("USER", "ADMIN").anyRequest().authenticated()).sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS));http.addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class);return http.build();}@Beanpublic AuthenticationManager authManager(HttpSecurity http) throws Exception {AuthenticationManagerBuilder authenticationManagerBuilder =http.getSharedObject(AuthenticationManagerBuilder.class);authenticationManagerBuilder.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());return authenticationManagerBuilder.build();}
}

2. 用户详情服务（UserDetailsService）

@Service
public class UserDetailsServiceImpl implements UserDetailsService {@Autowiredprivate UserRepository userRepository;@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {User user = userRepository.findByUsername(username).orElseThrow(() -> new UsernameNotFoundException("User not found with username: " + username));return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), getAuthorities(user));}private Collection<? extends GrantedAuthority> getAuthorities(User user) {return user.getRoles().stream().map(role -> new SimpleGrantedAuthority("ROLE_" + role.getName())).collect(Collectors.toList());}
}

3. JWT 工具类（JwtUtils）

@Component
public class JwtUtils {private String secretKey = "yourSecretKey";public String generateToken(UserDetails userDetails) {Map<String, Object> claims = new HashMap<>();return createToken(claims, userDetails.getUsername());}private String createToken(Map<String, Object> claims, String subject) {return Jwts.builder().setClaims(claims).setSubject(subject).setIssuedAt(new Date(System.currentTimeMillis())).setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10)) // 10 hours.signWith(SignatureAlgorithm.HS256, secretKey).compact();}
}

六、测试 RBAC 权限控制

使用 Postman 测试 RBAC 权限控制：

1. 注册用户：发送 POST 请求到 /api/auth/register，包含用户名和密码。
2. 登录获取 JWT 令牌：发送 POST 请求到 /api/auth/login，使用用户名和密码获取 JWT 令牌。
3. 访问受保护的接口：在请求头中添加 JWT 令牌，访问 /api/user/** 或 /api/admin/** 接口，验证角色权限。

七、最佳实践

1. 明确角色和权限：清晰定义角色和权限，避免权限重叠。
2. 限制角色变更：减少角色变更频率，确保变更记录清晰。
3. 定期审计：定期审计用户角色和权限，确保符合安全策略。

如果你在使用过程中遇到任何问题，欢迎在评论区留言交流。感谢你的阅读，希望这篇文章对你有所帮助！