6 其他小问题
6.0 其他权限校验方法
我们前面都是使用@PreAuthorize注解，然后在在其中使用的是hasAuthority方法进行校验。Spring Security还为我们提供了其它方法.
例如：hasAnyAuthority,hasRole,hasAnyRole,等。
这里我们先不急着去介绍这些方法，我们先去理解hasAuthority的原理，然后再去学习其他方法就会更容易理解。并且我们也可以选择定义校验方法，实现我们自己的校验逻辑。
hasAuthority方法实际是执行到了SecurityExpressionRoot的hasAuthority,大家只要断点调试既可知道它内部的校验原理。
它内部其实是调用authentication的getAuthorities方法获取用户的权限列表。然后判断我们存入的方法参数数据在权限列表中。
6.0.1 源码理解
在 SecurityExpressionRoot 这个类的内部可以看到hasAuthority方法是怎么实现的。
这个方法的参数authority实际上就是 @PreAuthorize(“hasAuthority(‘test’)”) 这个注解中的 ‘test’ 。可以注意的是，在hasAuthority方法的内部又调用了一个方法 hasAnyAuthority 。
这个方法接收了一个字符串的可变参，也就是说它本身可以接收多个字符串的参数，可见它的本质还是一个数组。
同时在 hasAnyAuthority 方法内部 又调用了 hasAnyAuthorityName方法。但是我们并不用关心它在内部的调用链路，只需要关注核心的实现代码就可以了。
在 hasAnyAuthorityName 这个方法里面有两个参数，一个参数是prefix，在hasAnyAuthority方法中传进来的时候是null。第二个参数roles也就是之前的authorities传教来的参数。
在第二行使用了一个set集合、泛型是String的变量，在创建的时候调用了方法getAuthoritySet （获取权限集合）。
观察 getAuthoritySet 方法 ，发现它的执行流程是首先判断roles是否为空，如果为空就走到if的里面去，而接下来的一条语句就是核心代码。这里接收了 this.authentication ，这个就是我们之前在filter中存入到holder当中的对象，即UsernamePasswordAuthenticationToken，可以知道这里userAuthorities拿到了我们的权限对象，最终就调用到了我们自己在LoginUser类中重写的方法里去。
然后又将我们的数据进行了处理，把list集合转化为了set集合。
最终返回的set集合，是一个String类型的。
这个set集合被hasAnyAuthorityName 方法拿到，而这个权限信息其实就是当前用户所具有的权限信息。然后判断当前用户有没有访问接口的权限，hasAnyAuthorityName 方法的roles参数就是访问接口所需要具有的权限。就是拿roles这个元素到getAuthoritySet 判断是否存在。
接着在hasAnyAuthorityName 方法中使用for循环遍历参数。在for循环中拿着role去执行了方法 getRoleWithDefaultPrefix ，这个方法在内部对字符串做了一个拼接。它会拿一个前缀和我们的权限字符串做一个拼接。
但是回到hasAnyAuthorityName 方法中，传进去的prefix前缀的值实际上是null，也就是说实际上并没有做一个拼接，没有前缀，最终的结果也就是原本的字符串。如果有权限就会返回一个true，没有权限就会返回一个false。
从上面的源码中我们可以发现，hasAnyAuthority方法实际上可以传入多个权限，只只要用户有其中任意一个权限都可以访问对应资源。
传入多个权限的写法：
//标注在controller层
@PreAuthorize("hasAuthority('test','admin')")
hasRole要求有对应的角色才可以访问，但是它内部会把我们传入的参数拼接上ROLE_后再去比较。所以这种情况下要用用户对应的权限也要有ROLE_这个前缀才可以。
如果直接向下面这种写法然后直接执行的话，会访问不了。
@PreAuthorize("hasRole('test')")
我们用户即使有这个权限，也会访问不了，我们来看一下这个对应的源码。
在hasRole这个方法内部又调用了一个方法hasAnyRole，
这个方法在传入参数的时候，this.defaultRolePrefix 传进来一个 ‘ROLE_’ 。是role的一个前缀，而这个 “ROLE_” 就是默认的前缀。
在hasAnyAuthorityName方法内部，它获取到了这个权限，还要拿这个权限拼接上一个前缀，拼接之后再和集合中的元素做一个判断。文章来源：https://www.toymoban.com/news/detail-467926.html
hasAnyRole有任意的角色就可以访问。它内部也会把我们传入的参数拼接上 ROLE_ 后再去比较。所以这种情况下要用用户对应的权限也要有**ROLE_**这个前缀才可以。文章来源地址https://www.toymoban.com/news/detail-467926.html
@PreAuthorize("hasRole('admin','test')")
到了这里，关于【Spring Security】安全框架学习（十二）的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
![[SpringBoot]Spring Security框架](https://imgs.yssmx.com/Uploads/2024/02/480051-1.png)
