有的时候博客内容会有变动，首发博客是最新的，其他博客地址可能会未同步,认准https://blog.zysicyj.top

全网最细面试题手册，支持艾宾浩斯记忆法。这是一份最全面、最详细、最高质量的 java面试题，不建议你死记硬背，只要每天复习一遍，有个大概印象就行了。 https://store.amazingmemo.com/chapterDetail/1685324709017001`

Spring Security 控制请求访问权限的方法

Spring Security 提供了多种方法来控制请求的访问权限，以下是一些常用的方法：

1. 基于HTTP Security的配置

通过在WebSecurityConfigurerAdapter的实现类中重写configure(HttpSecurity http)方法，可以使用antMatchers、regexMatchers或mvcMatchers等方法来匹配特定的URL模式，并为它们指定安全策略。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
            .antMatchers("/public/**").permitAll()
            .anyRequest().authenticated();
}

2. 方法级别的安全性

在方法级别上，可以使用@PreAuthorize、@PostAuthorize、@PreFilter和@PostFilter注解来控制对方法的访问。

@PreAuthorize("hasRole('ADMIN')")
public void someAdminMethod() {
    // ...
}

@PreAuthorize("hasAnyRole('USER', 'ADMIN')")
public void someUserMethod() {
    // ...
}

3. 基于表达式的访问控制

Spring Security 支持使用SpEL（Spring Expression Language）表达式来定义更复杂的安全约束。

http
    .authorizeRequests()
        .antMatchers("/api/**").access("hasRole('USER') and hasIpAddress('192.168.1.0/24')")
        .anyRequest().authenticated();

4. 自定义投票器（Voter）

可以实现AccessDecisionVoter接口来创建自定义的投票器，这些投票器可以在访问决策过程中使用。

public class CustomVoter implements AccessDecisionVoter<Object> {
    // 实现方法...
}

5. 基于URL的动态权限

可以结合数据库或其他存储机制，动态地为不同的URL路径配置权限，通常这会结合FilterSecurityInterceptor来实现。

6. 基于角色的访问控制

Spring Security 允许为不同的角色指定不同的访问权限。

http
    .authorizeRequests()
        .antMatchers("/admin/**").hasAuthority("ROLE_ADMIN")
        .antMatchers("/user/**").hasAuthority("ROLE_USER")
        .anyRequest().authenticated();

7. 使用自定义的安全元数据源

可以通过实现SecurityMetadataSource接口来定义自己的安全元数据源，这样可以完全控制安全元数据的获取和管理。

结论

Spring Security 提供了灵活而强大的机制来控制请求的访问权限，可以通过简单的配置或编写代码来满足不同的安全需求。通过上述方法，可以确保应用程序的安全性，同时为不同类型的用户提供适当的访问权限。