前回はロールに応じてアクセスできるURLを制限しました。今回はこの応用みたいな感じでコントローラーのメソッドと権限を紐づけて、権限がない場合は処理をしないという実装を行います。

関連記事

リンク

リンク

参考

現場至上主義 Spring Boot2 徹底活用

ログイン時にロールと権限を取得します。UserDetailsServiceを実装したクラスのloadUserByUsernameメソッドで以下のようにロールと権限の取得を行います。

@Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        //　dbからユーザーを取得する
        User user = this.userRepository.findByUserName(username);

        // ユーザーの権限を取得する
        Collection<GrantedAuthority> authorities = new ArrayList<>();

        List<Role> roles = this.roleRepository.getRoleByUserId(user.getId());
        List<Authorities> userAuthorities = this.authoritiesRepository.findByUserId(1);

        List<GrantedAuthority> roleKeys = roles.stream()
                .map(Role::getName)
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());

        List<GrantedAuthority> authorityKeys = userAuthorities.stream()
                .map(Authorities::getName)
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());

        authorities.addAll(roleKeys);
        authorities.addAll(authorityKeys);

        // TODO 継承したログインユーザークラスの作成と返却を行う
        return new org.springframework.security.core.userdetails.User(user.getUsername(), new BCryptPasswordEncoder().encode(user.getPassword()), authorities);
    }

今回はインターセプタを利用してコントローラーの前に処理を割り込ませます。SecurityContextHolder.getContext().getAuthentication()を利用するとAuthentication(認証情報)が取得できます。

このクラスのgetAuthoritiesメソッドはGrantedAuthorityのCollectionを取得できます。ここから取得した中に、loadUserByUsernameで設定した権限が含まれているかどうかをチェックすればよいです。

今回はUPDATEとDELETEで分けて考えますが、共通した処理は基底クラスに定義しておきます

public abstract class AbstractAuthInterceptor implements HandlerInterceptor {

    /**
     * ログイン中のユーザーが渡された権限KEYを持っているかどうか確認します。
     * 持っている場合 true
     * 持っていない場合 false
     *
     * @return boolean 権限有無
     */
    protected final boolean hasAuthority(final String key){
        // 認証情報を取得する
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // GrantedAuthorityのCollectionを取得して、KEYに一致するものがあるか検査する
        Collection<? extends GrantedAuthority> grants = auth.getAuthorities();
        // 一度文字列のリストにしてから検索します。
        int result = grants.stream().map(GrantedAuthority::getAuthority).collect(Collectors.toList()).indexOf(key);

        if(result == -1){
            return false;
        }
        return true;
    }

}

実装クラスはUPDATEとDELETEを作成します。参考書籍はメソッド名から判定をしていました。メソッド名を取得する方法は関連記事(ログ出力)を参考にします。

更新

@Component
public class AuthUpdateInterceptor extends AbstractAuthInterceptor{
    //コントローラーの動作前
    @Override
    public boolean preHandle (HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 権限KEYを持っているか検査する
        boolean isAllowed = this.hasAuthority("update");
        // 権限がない場合は例外とする
        if(!isAllowed){
            throw new AccessDeniedException("更新権限がありません。");
        }
        return true;
    }
}

削除

@Component
public class AuthDeleteInterceptor extends AbstractAuthInterceptor{
    //コントローラーの動作前
    @Override
    public boolean preHandle (HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 権限KEYを持っているか検査する
        boolean isAllowed = this.hasAuthority("delete");
        // 権限がない場合は例外とする
        if(!isAllowed){
            throw new AccessDeniedException("削除権限がありません。");
        }
        return true;
    }
}

あとはWebMvcConfigurerに登録する必要がありますので以下のようにして登録を行います。

@Component
public class WebMvcConfig implements WebMvcConfigurer {
    @Autowired
    private RequestTracking requestTracking;

    @Autowired
    private AuthUpdateInterceptor authInterceptor;

    @Autowired
    private AuthDeleteInterceptor authDeleteInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(requestTracking)
                .addPathPatterns("/")
                .addPathPatterns("/track");
        registry.addInterceptor(authInterceptor)
                .addPathPatterns("/update");
        registry.addInterceptor(authDeleteInterceptor)
                .addPathPatterns("/delete");
    }
}

UPDATE権限はあって、DELETE権限がない場合の挙動です

Spring Security | 権限をコントローラーのメソッドに紐づける