SpringCloud Alibaba 微服务实战十九 - 集成 RBAC 授权

概述

前面几篇文章我们一直是实现 SpringCloud 体系中的认证功能模块，验证当前登录用户的身份；本篇文章我们来讲 SpringCloud 体系中的授权功能，验证你是否能访问某些功能。

认证授权

很多同学分不清认证和授权，把他们当同一个概念来看待。其实他们是两个完全不同的概念，举个容易理解的例子：

你是张三，某知名论坛的版主。在你登录论坛的时候输入账号密码登录成功，这就证明了你是张三，这个过程叫做认证（authentication）。登录后系统判断你是版主，你可以给别人发表的帖子加亮、置顶，这个校验过程就是授权（authorization）。

简而言之，认证过程是告诉你你是谁，而授权过程是告诉你你能做什么？

在 SpringCloud 体系中实现授权一般使用以下两种方式：

基于路径匹配器授权
系统所有请求都会经过 Springcloud Gateway 网关，网关收到请求后判断当前用户是否拥有访问路径的权限，主要利用 ReactiveAuthorizationManager#check(Mono<Authentication> authenticationMono, AuthorizationContext authorizationContext) 方法进行校验。
这种方法主要是基于用户拥有的资源路径进行考量。
基于方法拦截
使用这种方法在网关层不进行拦截，在需要进行权限校验的方法上加上 SpringSecurity 注解，判断当前用户是否有访问此方法的权限，当然也可以使用自定义注解或使用 AOP 进行拦截校验，这几种实现方式我们都统称为基于方法拦截。
这种方法一般会基于用户拥有的资源标识进行考量。

接下来我们分别使用两种不同方式实现 SpringCloud 授权过程。

核心代码实现

不管是使用哪种方式我们都得先知道当前用户所拥有的角色资源，所以我们先利用 RBAC 模型建立一个简单的用户、角色、资源表结构并在项目中建立对应的 Service、Dao 层。

（资源表中建立了资源标识和请求路径两个字段，方便实现代码逻辑）

基于路径匹配器授权

改造自定义 UserDetailService
还记得我们原来自定义的 UserDetailService 吗，在 loadUserByUsername() 方法中需要返回 UserDetails 对象。
之前我们返回的是固定的 'ADMIN' 角色，这里要改成从数据库中获取真实的角色，并将与角色对应的资源都放到 UserDetails 对象中。


@Override
public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
	//获取本地用户
	SysUser sysUser = sysUserMapper.selectByUserName(userName);
	if(sysUser != null){
		//获取当前用户的所有角色
		List<SysRole> roleList = sysRoleService.listRolesByUserId(sysUser.getId());
		sysUser.setRoles(roleList.stream().map(SysRole::getRoleCode).collect(Collectors.toList()));
		List<Integer> roleIds = roleList.stream().map(SysRole::getId).collect(Collectors.toList());
		//获取所有角色的权限
		List<SysPermission> permissionList = sysPermissionService.listPermissionsByRoles(roleIds);
		sysUser.setPermissions(permissionList.stream().map(SysPermission::getUrl).collect(Collectors.toList()));
		//构建oauth2的用户
		return buildUserDetails(sysUser);

	}else{
		throw  new UsernameNotFoundException("用户["+userName+"]不存在");
	}
}
/**
 * 构建oAuth2用户，将角色和权限赋值给用户，角色使用ROLE_作为前缀
 * @param sysUser 系统用户
 * @return UserDetails
 */
private UserDetails buildUserDetails(SysUser sysUser) {
	Set<String> authSet = new HashSet<>();
	List<String> roles = sysUser.getRoles();
	if(!CollectionUtils.isEmpty(roles)){
		roles.forEach(item -> authSet.add(CloudConstant.ROLE_PREFIX + item));
		authSet.addAll(sysUser.getPermissions());
	}

	List<GrantedAuthority> authorityList = AuthorityUtils.createAuthorityList(authSet.toArray(new String[0]));

	return new User(
			sysUser.getUsername(),
			sysUser.getPassword(),
			authorityList
	);
}

注意这里是将 SysPermission::getUrl 放入用户对应权限中。

改造 AccessManager 实现权限判断


@Autowired
private AccessManager accessManager;
@Bean
SecurityWebFilterChain webFluxSecurityFilterChain(ServerHttpSecurity http) throws Exception{
	...
	http
			.httpBasic().disable()
			.csrf().disable()
			.authorizeExchange()
			.pathMatchers(HttpMethod.OPTIONS).permitAll()
			.anyExchange().access(accessManager)
	...
	return http.build();
}

在原来网关配置中我们注入了自定义的 ReactiveAuthorizationManager 用于权限判断，我们需要实现根据请求路径与用户拥有的资源路径进行判断，若存在对应的资源访问路径则继续转发给后端服务，负责返回“没有权限访问”。


@Slf4j
@Component
public class AccessManager implements ReactiveAuthorizationManager<AuthorizationContext> {
    private Set<String> permitAll = new ConcurrentHashSet<>();
    private static final AntPathMatcher antPathMatcher = new AntPathMatcher();


    public AccessManager (){
        permitAll.add("/");
        permitAll.add("/error");
        permitAll.add("/favicon.ico");
        //如果生产环境开启swagger调试
        permitAll.add("/**/v2/api-docs/**");
        permitAll.add("/**/swagger-resources/**");
        permitAll.add("/webjars/**");
        permitAll.add("/doc.html");
        permitAll.add("/swagger-ui.html");
        permitAll.add("/**/oauth/**");
    }

    /**
     * 实现权限验证判断
     */
    @Override
    public Mono<AuthorizationDecision> check(Mono<Authentication> authenticationMono, AuthorizationContext authorizationContext) {
        ServerWebExchange exchange = authorizationContext.getExchange();
        //请求资源
        String requestPath = exchange.getRequest().getURI().getPath();
        // 是否直接放行
        if (permitAll(requestPath)) {
            return Mono.just(new AuthorizationDecision(true));
        }

        return authenticationMono.map(auth -> {
            return new AuthorizationDecision(checkAuthorities(auth, requestPath));
        }).defaultIfEmpty(new AuthorizationDecision(false));

    }

    /**
     * 校验是否属于静态资源
     * @param requestPath 请求路径
     * @return
     */
    private boolean permitAll(String requestPath) {
        return permitAll.stream()
                .filter(r -> antPathMatcher.match(r, requestPath)).findFirst().isPresent();
    }


    /**
     * 权限校验
     * @author javadaily
     * @date 2020/8/4 16:47
     * @param auth 用户权限
     * @param requestPath 请求路径
     * @return
     */
    private boolean checkAuthorities(Authentication auth, String requestPath) {
        if(auth instanceof OAuth2Authentication){
            Collection<? extends GrantedAuthority> authorities = auth.getAuthorities();

            return authorities.stream()
                    .map(GrantedAuthority::getAuthority)
                    .filter(item -> !item.startsWith(CloudConstant.ROLE_PREFIX))
                    .anyMatch(permission -> antPathMatcher.match(permission, requestPath));
        }

        return false;
    }
}

测试

查看当前用户拥有的所有权限

请求正常权限范围内资源

访问没有权限的资源

基于方法拦截实现

基于方法拦截实现在本文中是基于 SpringSecurity 内置标签 @PreAuthorize，然后通过实现自定义的校验方法 hasPrivilege()完成。再强调一遍实现方式多种多样，不一定非要采取本文的实现方式。

此方法下的代码逻辑需要写在资源服务器中，也就是提供具体业务服务的后端服务。由于每个后端服务都需要加入这些代码，所以建议抽取出公共的 starter 模块，各个资源服务器引用 starter 模块即可。

改造 UserDetailService
改造过程跟上面过程一样，只不过这里是需要将资源标识放入用户权限中。


sysUser.setPermissions(
		permissionList.stream()
			.map(SysPermission::getPermission)
			.collect(Collectors.toList())
);

删除网关拦截配置
由于不需要使用网关拦截，所以我们需要将 AccessManager 中的校验逻辑删除并全部返回 true。
自定义方法校验逻辑


/**
 * 自定义权限校验
 * @author http://www.javadaily.cn
 */
public class CustomMethodSecurityExpressionRoot extends SecurityExpressionRoot implements MethodSecurityExpressionOperations {
    private static final AntPathMatcher antPathMatcher = new AntPathMatcher();
    public CustomMethodSecurityExpressionRoot(Authentication authentication) {
        super(authentication);
    }

    private Object filterObject;
    private Object returnObject;

    public boolean hasPrivilege(String permission){
        Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
        return authorities.stream()
                    .map(GrantedAuthority::getAuthority)
                    .filter(item -> !item.startsWith(CloudConstant.ROLE_PREFIX))
                    .anyMatch(x -> antPathMatcher.match(x, permission));
    }
    ...
}

自定义方法拦截处理器


/**
 * @author http://www.javadaily.cn
 */
public class CustomMethodSecurityExpressionHandler extends DefaultMethodSecurityExpressionHandler {

    private AuthenticationTrustResolver trustResolver =  new AuthenticationTrustResolverImpl();

    @Override
    protected MethodSecurityExpressionOperations createSecurityExpressionRoot(
            Authentication authentication, MethodInvocation invocation) {
        CustomMethodSecurityExpressionRoot root =
                new CustomMethodSecurityExpressionRoot(authentication);
        root.setPermissionEvaluator(getPermissionEvaluator());
        root.setTrustResolver(this.trustResolver);
        root.setRoleHierarchy(getRoleHierarchy());
        return root;
    }
}

启用方法校验


@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        CustomMethodSecurityExpressionHandler expressionHandler =
                new CustomMethodSecurityExpressionHandler();
        return expressionHandler;
    }
}

在需要权限校验的方法上加上注解


@ApiOperation("select接口")
@GetMapping("/account/getByCode/{accountCode}")
@PreAuthorize("hasPrivilege('queryAccount')")
public ResultData<AccountDTO> getByCode(@PathVariable(value = "accountCode") String accountCode){
	log.info("get account detail,accountCode is :{}",accountCode);
	AccountDTO accountDTO = accountService.selectByCode(accountCode);
	return ResultData.success(accountDTO);
}

测试

通过 debug 可以看到这里获取到的用户权限是资源表中的资源标识。

小结

个人觉得在 SpringCloud 微服务架构中最复杂的一个模块就是用户的认证授权模块，本文通过两种实现方法解决了授权问题，解决你能做什么的问题。大家可以根据实际业务场景选择具体的实现方式，当然了个人还是建议使用第一种基于路径匹配器授权的方式，只需要在网关层进行拦截即可。

SpringCloud alibab 实战系列文章目前是第 21 篇，如果大家对之前的文章感兴趣可以移步至 http://javadaily.cn/tags/SpringCloud 查看。

SpringCloud Alibaba 微服务实战十九 - 集成 RBAC 授权

概述

认证授权

核心代码实现

基于路径匹配器授权

基于方法拦截实现

小结

相关帖子

微服务保护——Sentinel

微服务——Nacos 第二篇

微服务——Ribbon

6_foc 软件框架设计与思考

架构设计 25 不要

软件架构设计原则

分布式锁介绍和一些例子

欢迎来到这里！