所有的Authentication實(shí)現(xiàn)存儲(chǔ)的列表GrantedAuthority對(duì)象.這些代表已被授予主要的的當(dāng)局. GrantedAuthority對(duì)象是由authenticationManager 插入到Authentication 對(duì)象娃循，然后讀取 AccessDecisionManager做出判斷.

也就是說(shuō)是由捌斧，投保器進(jìn)行投票捞蚂，投完票之后跷究，由決策器進(jìn)行決策姓迅。（投票方案可以是一票通過(guò)，一票否決等等）。

GrantedAuthority是一個(gè)只有一個(gè)方法的接口

String getAuthority();
這個(gè)方法允許AccessDecisionManager 來(lái)判斷得到一個(gè)精確的String表示的GrantedAuthority .通過(guò)返回一個(gè)表示作為一個(gè)String,一個(gè)GrantedAuthority 可以很容易的通過(guò)AccessDecisionManager 來(lái)read,如果一個(gè)GrantedAuthority 不能精確地表示為一個(gè)String,GrantedAuthority 將會(huì)被認(rèn)為是"complex"和getAuthority() 必須返回為null.

"complex" GrantedAuthority的一個(gè)將一個(gè)應(yīng)用于不同客戶帳戶號(hào)碼的操作和權(quán)限閾值的列表的實(shí)現(xiàn)例子.代表這個(gè)復(fù)雜的GrantedAuthority 作為String將是相當(dāng)困難的丁存，作為一個(gè)結(jié)果肩杈，getauthority() 方法應(yīng)該返回null.這將對(duì)任何accessDecisionManager 表明它需要明確的支持 GrantedAuthority實(shí)施以了解其內(nèi)容.

Spring Security包括一個(gè)具體的GrantedAuthority 實(shí)施， grantedauthorityimpl .這允許用戶指定的任何String轉(zhuǎn)換成一種 GrantedAuthority .所有的 AuthenticationProvider 的包括與安全架構(gòu)使用 grantedauthorityimpl`填充Authentication對(duì)象.

訪問(wèn)決策管理器

accessDecisionManager 被 abstractsecurityinterceptor 和負(fù)責(zé)制定最終的訪問(wèn)控制決策.AccessDecisionManager接口包含三種方法:

void decide(Authentication authentication, Object secureObject,
Collection<ConfigAttribute> attrs) throws AccessDeniedException;

boolean supports(ConfigAttribute attribute);

boolean supports(Class clazz);
AccessDecisionManager的decide方法傳遞了它所需要的所有相關(guān)信息解寝，以作出授權(quán)決策.尤其,通過(guò)安全的“對(duì)象”扩然，使這些參數(shù)包含在實(shí)際的安全對(duì)象調(diào)用中進(jìn)行檢查.例如,讓我們假設(shè)安全對(duì)象是一個(gè)MethodInvocation 資料，這將是很容易實(shí)現(xiàn)MethodInvocation對(duì)于任何Customer論點(diǎn).然后執(zhí)行某種安全邏輯判斷聋伦、來(lái)確保AccessDecisionManager 主允許對(duì)客戶操作.如果訪問(wèn)被拒絕并拋出AccessDeniedException 我們的預(yù)期就實(shí)現(xiàn)了.

如果accessDecisionManager 可以處理通過(guò) configattribute ,supports(ConfigAttribute)方法由AbstractSecurityInterceptor 在決定啟動(dòng)時(shí)候命名. supports(Class) 方法被安全攔截器實(shí)現(xiàn)觉增，確保配置accessDecisionManager支持類型的安全對(duì)象的被攔截.

public interface AccessDecisionManager {
 
 
 
    /**
     * 通過(guò)傳遞的參數(shù)來(lái)決定用戶是否有訪問(wèn)對(duì)應(yīng)受保護(hù)對(duì)象的權(quán)限
     *
     * @param authentication 當(dāng)前正在請(qǐng)求受包含對(duì)象的Authentication
     * @param object 受保護(hù)對(duì)象敞斋，其可以是一個(gè)MethodInvocation阳柔、JoinPoint或FilterInvocation。
     * @param configAttributes 與正在請(qǐng)求的受保護(hù)對(duì)象相關(guān)聯(lián)的配置屬性
     *
     */
 
    void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes)
 
        throws AccessDeniedException, InsufficientAuthenticationException;
 
 
 
    /**
     * 表示當(dāng)前AccessDecisionManager是否支持對(duì)應(yīng)的ConfigAttribute
 */
 
    boolean supports(ConfigAttribute attribute);
 
 
 
    /**
     * 表示當(dāng)前AccessDecisionManager是否支持對(duì)應(yīng)的受保護(hù)對(duì)象類型
     */
 
    boolean supports(Class<?> clazz);
 

decide()方法用于決定authentication是否符合受保護(hù)對(duì)象要求的configAttributes低滩。supports(ConfigAttribute attribute)方法是用來(lái)判斷AccessDecisionManager是否能夠處理對(duì)應(yīng)的ConfigAttribute的婶溯。supports(Class<?> clazz)方法用于判斷配置的AccessDecisionManager是否支持對(duì)應(yīng)的受保護(hù)對(duì)象類型叙身。

2）投票系統(tǒng)
Spring Security已經(jīng)內(nèi)置了幾個(gè)基于投票的AccessDecisionManager虏两，當(dāng)然如果需要你也可以實(shí)現(xiàn)自己的AccessDecisionManager。以下是Spring Security官方文檔提供的一個(gè)圖惠况，其展示了與基于投票的AccessDecisionManager實(shí)現(xiàn)相關(guān)的類权埠。還有比較重要的WebExpressionVoter

b7963b90-3877-3885-84f9-6d0054cb5eec.png

使用這種方式满俗，一系列的AccessDecisionVoter將會(huì)被AccessDecisionManager用來(lái)對(duì)Authentication是否有權(quán)訪問(wèn)受保護(hù)對(duì)象進(jìn)行投票与柑，然后再根據(jù)投票結(jié)果來(lái)決定是否要拋出AccessDeniedException。AccessDecisionVoter是一個(gè)接口嵌屎，其中定義有三個(gè)方法尼夺，具體結(jié)構(gòu)如下所示拐邪。

public interface AccessDecisionVoter<S> {
 
 
 
    intACCESS_GRANTED = 1;
 
    intACCESS_ABSTAIN = 0;
 
    intACCESS_DENIED = -1;
 
 
 
    boolean supports(ConfigAttribute attribute);
 
 
 
    boolean supports(Class<?> clazz);
 
 
 
    int vote(Authentication authentication, S object, Collection<ConfigAttribute> attributes);
 
}

vote()方法的返回結(jié)果會(huì)是AccessDecisionVoter中定義的三個(gè)常量之一。ACCESS_GRANTED表示同意，ACCESS_DENIED表示拒絕仇穗，ACCESS_ABSTAIN表示棄權(quán)球切。如果一個(gè)AccessDecisionVoter不能判定當(dāng)前Authentication是否擁有訪問(wèn)對(duì)應(yīng)受保護(hù)對(duì)象的權(quán)限庐镐，則其vote()方法的返回值應(yīng)當(dāng)為棄權(quán)ACCESS_ABSTAIN璧针。

   Spring Security內(nèi)置了三個(gè)基于投票的AccessDecisionManager實(shí)現(xiàn)類，它們分別是AffirmativeBased腐泻、ConsensusBased和UnanimousBased决乎。

   AffirmativeBased的邏輯是這樣的：

   （1）只要有AccessDecisionVoter的投票為ACCESS_GRANTED則同意用戶進(jìn)行訪問(wèn)派桩；

   （2）如果全部棄權(quán)也表示通過(guò)晒奕；

   （3）如果沒有一個(gè)人投贊成票脑慧，但是有人投反對(duì)票，則將拋出AccessDeniedException滑蚯。

   ConsensusBased的邏輯是這樣的：

   （1）如果贊成票多于反對(duì)票則表示通過(guò)。

   （2）反過(guò)來(lái)倦零，如果反對(duì)票多于贊成票則將拋出AccessDeniedException蹋嵌。

   （3）如果贊成票與反對(duì)票相同且不等于0，并且屬性allowIfEqualGrantedDeniedDecisions的值為true葫隙，則表示通過(guò)栽烂，否則將拋出異常AccessDeniedException。參數(shù)allowIfEqualGrantedDeniedDecisions的值默認(rèn)為true恋脚。

   （4）如果所有的AccessDecisionVoter都棄權(quán)了腺办，則將視參數(shù)allowIfAllAbstainDecisions的值而定，如果該值為true則表示通過(guò)糟描，否則將拋出異常AccessDeniedException怀喉。參數(shù)allowIfAllAbstainDecisions的值默認(rèn)為false。

   UnanimousBased的邏輯與另外兩種實(shí)現(xiàn)有點(diǎn)不一樣船响，另外兩種會(huì)一次性把受保護(hù)對(duì)象的配置屬性全部傳遞給AccessDecisionVoter進(jìn)行投票躬拢，而UnanimousBased會(huì)一次只傳遞一個(gè)ConfigAttribute給AccessDecisionVoter進(jìn)行投票。這也就意味著如果我們的AccessDecisionVoter的邏輯是只要傳遞進(jìn)來(lái)的ConfigAttribute中有一個(gè)能夠匹配則投贊成票见间，但是放到UnanimousBased中其投票結(jié)果就不一定是贊成了聊闯。UnanimousBased的邏輯具體來(lái)說(shuō)是這樣的：

（1）如果受保護(hù)對(duì)象配置的某一個(gè)ConfigAttribute被任意的AccessDecisionVoter反對(duì)了，則將拋出AccessDeniedException缤剧。

   （2）如果沒有反對(duì)票馅袁，但是有贊成票，則表示通過(guò)荒辕。

   （3）如果全部棄權(quán)了汗销，則將視參數(shù)allowIfAllAbstainDecisions的值而定，true則通過(guò)抵窒，false則拋出AccessDeniedException弛针。

投票者：

RoleVoter是Spring Security內(nèi)置的一個(gè)AccessDecisionVoter，其會(huì)將ConfigAttribute簡(jiǎn)單的看作是一個(gè)角色名稱李皇，在投票的時(shí)如果擁有該角色即投贊成票削茁。如果ConfigAttribute是以“ROLE_”開頭的，則將使用RoleVoter進(jìn)行投票掉房。當(dāng)用戶擁有的權(quán)限中有一個(gè)或多個(gè)能匹配受保護(hù)對(duì)象配置的以“ROLE_”開頭的ConfigAttribute時(shí)其將投贊成票茧跋；如果用戶擁有的權(quán)限中沒有一個(gè)能匹配受保護(hù)對(duì)象配置的以“ROLE_”開頭的ConfigAttribute，則RoleVoter將投反對(duì)票卓囚；如果受保護(hù)對(duì)象配置的ConfigAttribute中沒有以“ROLE_”開頭的瘾杭，則RoleVoter將棄權(quán)。

AuthenticatedVoter也是Spring Security內(nèi)置的一個(gè)AccessDecisionVoter實(shí)現(xiàn)哪亿。其主要用來(lái)區(qū)分匿名用戶粥烁、通過(guò)Remember-Me認(rèn)證的用戶和完全認(rèn)證的用戶贤笆。完全認(rèn)證的用戶是指由系統(tǒng)提供的登錄入口進(jìn)行成功登錄認(rèn)證的用戶。

   AuthenticatedVoter可以處理的ConfigAttribute有IS_AUTHENTICATED_FULLY讨阻、IS_AUTHENTICATED_REMEMBERED和IS_AUTHENTICATED_ANONYMOUSLY芥永。如果ConfigAttribute不在這三者范圍之內(nèi)，則AuthenticatedVoter將棄權(quán)钝吮。否則將視ConfigAttribute而定埋涧，如果ConfigAttribute為IS_AUTHENTICATED_ANONYMOUSLY，則不管用戶是匿名的還是已經(jīng)認(rèn)證的都將投贊成票搀绣；如果是IS_AUTHENTICATED_REMEMBERED則僅當(dāng)用戶是由Remember-Me自動(dòng)登錄飞袋，或者是通過(guò)登錄入口進(jìn)行登錄認(rèn)證時(shí)才會(huì)投贊成票，否則將投反對(duì)票链患；而當(dāng)ConfigAttribute為IS_AUTHENTICATED_FULLY時(shí)僅當(dāng)用戶是通過(guò)登錄入口進(jìn)行登錄的才會(huì)投贊成票巧鸭，否則將投反對(duì)票。

   AuthenticatedVoter是通過(guò)AuthenticationTrustResolver的isAnonymous()方法和isRememberMe()方法來(lái)判斷SecurityContextHolder持有的Authentication是否為AnonymousAuthenticationToken或RememberMeAuthenticationToken的麻捻，即是否為IS_AUTHENTICATED_ANONYMOUSLY和IS_AUTHENTICATED_REMEMBERED纲仍。

授權(quán)的配置
常見的是使用表達(dá)式的配置
表達(dá)根對(duì)象的基類是securityexpressionroot.這提供了一些常見的表達(dá)式，可應(yīng)用在網(wǎng)絡(luò)和方法安全性.

Table 3. Common built-in expressions

Web Security Expressions
使用表達(dá)式來(lái)保護(hù)個(gè)人網(wǎng)址,首先需要設(shè)置“use-expressions”屬性的< http >為true.Spring Security預(yù)期的“訪問(wèn)”屬性的< intercept-url >元素包含Spring EL表達(dá)式。一個(gè)布爾表達(dá)式應(yīng)該評(píng)估,定義是否應(yīng)該允許訪問(wèn). 例如:

<http>
    <intercept-url pattern="/admin*"
        access="hasRole('admin') and hasIpAddress('192.168.1.0/24')"/>
    ...
</http>

在網(wǎng)絡(luò)安全bean表達(dá)式
在Java配置

http
        .authorizeRequests()
                .antMatchers("/user/**").access("@webSecurity.check(authentication,request)")
                ...