三、Spring Security认证和授权-授权流程及源码解析

最新推荐文章于 2025-08-17 18:15:00 发布

原创

最新推荐文章于 2025-08-17 18:15:00 发布 · 置顶 · 1.9k 阅读

收录于

当前文章被以下社区和专栏收录：

本文深入解析Spring Security的授权控制原理，包括FilterSecurityInterceptor的授权校验、授权表达式的使用，以及如何自定义扩展授权配置。通过示例介绍了授权流程，并提供了资源管理系统演示和相关源码链接。

上期我们学习了基于UsernamePasswordAuthenticationFilter的表单认证，接下来我们将对Spring Security授权相关知识点进行介绍并进行源码级解析。认证和授权是两个密不可分的好基友，只认证不授权，系统将不知道用户有哪些权限，能进行哪些操作。就像是一个公司只设置了门卫，只要是本公司职员就能进入（认证过程），但是没有明确的规章制度和上下级关系，进入公司以后具体有哪些权利和义务没人知道（授权），将导致公司陷入混乱无法运转。

一、Spring Security 授权控制原理解析

在这里插入图片描述

用户请求经过一系列的过滤器后到达FilterSecurityInterceptor，开始进行权限控制。
1、FilterSecurityInterceptor在调用doFilter之前调用其父类AbstractSecurityInterceptor的beforeInvocation()方法进行授权校验。

2、beforeInvocation()方法中调用了SecurityMetadataSource的getAttributes()方法获取访问该地址需要的权限。rquestMap是系统配置的地址对应的权限信息，拿此次请求的URL进行匹配，将匹配到的权限返回到调用方。