其他权限校验方法

我们前面都是使用@PreAuthorize注解，然后在其中使用的是hasAuthority方法进行校验。SpringSecurityi还

为我们提供了其它方法：

• hasAnyAuthority
• hasRole
• hasAnyRole等。

这里我们先不急着去介绍这些方法，我们先去理解hasAuthority的原理，然后再去学习其他方法你就更容易理解，而不是死记硬背区别。并且我们也可以选择定义校验方法，实现我们自己的校验逻辑。

hasAuthority方法实际是执行到了SecurityExpressionRoot的hasAuthority，大家只要断点调试，既可知道它内部的校验原理。

它内部其实是调用authentication的getAuthorities方法获取用户的权限列表。然后判断我们存入的方法参数数据在权限列表中。

// SecurityExpressionRoot类
@Override
public final boolean hasAuthority(String authority) {
   return hasAnyAuthority(authority);
}

@Override
public final boolean hasAnyAuthority(String... authorities) {
    return hasAnyAuthorityName(null, authorities);
}

private boolean hasAnyAuthorityName(String prefix, String... roles) {
    Set<String> roleSet = getAuthoritySet();
    for (String role : roles) {
        String defaultedRole = getRoleWithDefaultPrefix(prefix, role);
        if (roleSet.contains(defaultedRole)) {
            return true;
        }
    }
    return false;
}

• hasAnyAuthority方法可以传入多个权限，只有用户有其中任意一个权限都可以访问对应资源。

• hasRole要求有对应的角色才可以访问，但是它内部会把我们传入的参数拼接上ROLE_后再去比较。所以这种情况下要用用户对应的权限也要有ROLE_这个前缀才可以。

  // SecurityExpressionRoot类
  private String defaultRolePrefix = "ROLE_";
  
  @Override
  public final boolean hasRole(String role) {
     return hasAnyRole(role);
  }
  
  @Override
  public final boolean hasAnyRole(String... roles) {
      return hasAnyAuthorityName(this.defaultRolePrefix, roles);
  }
  
  private boolean hasAnyAuthorityName(String prefix, String... roles) {
      Set<String> roleSet = getAuthoritySet();
      for (String role : roles) {
          String defaultedRole = getRoleWithDefaultPrefix(prefix, role);
          if (roleSet.contains(defaultedRole)) {
              return true;
          }
      }
      return false;
  }
  

• hasAnyRole有任意的角色就可以访问。它内部也会把我们传入的参数拼接上ROLE_后再去比较。所以这种情况下要用用户对应的权限也要有ROLE_这个前缀才可以。