java - 支持 Spring Security 的“ROLE_”前缀的最佳方式是什么？

Question

如果您支持的旧应用程序在所有角色上都没有前缀，那么支持“ROLE_”前缀的最佳方式是什么？有没有办法从加载中忽略或忽略它？

Answer 1

似乎没有一种简单的方法可以忽略普通弹簧安全配置中的前缀。但是，我发现从数据库加载时，您可以轻松地将“ROLE_”附加到所有角色。我只是使用 MySQL 中的 CONCAT 函数将“ROLE_”添加到所有角色。见下文：

<authentication-manager>
    <authentication-provider>
        <password-encoder hash="md5"/>
        <jdbc-user-service
            data-source-ref="dataSource"
            authorities-by-username-query="SELECT username, CONCAT('ROLE_', rolename) as authority FROM user_role WHERE active = 1 AND username = ?"
            users-by-username-query="SELECT username, password, active FROM user WHERE username = ?" />
    </authentication-provider>
</authentication-manager>

如果您使用 UserDetailsS​​ervice 接口创建自己的类，也可以应用此概念：

<!-- Select users and user_roles from database -->
<authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="myUserDetailsService">
        <password-encoder ref="encoder" />
    </authentication-provider>
</authentication-manager>

<beans:bean id="encoder" class="com.my.security.MyPasswordEncoder" />

注意：我对“authentication-manager”使用“别名”而不是 ID，因为如果我覆盖默认 ID，我的自定义在身份验证过程中似乎会被忽略。