实施 AuthoritiesExtractor 后主体未显示权限

Question

我正在扩展 AuthoritiesExtractor。在我的实现中，我添加了一个名为“MYROLE”的新权限。我在 SecurityConfig.java 中创建了一个如下所示的 bean (@Bean) 来初始化这个提取器，如下所示。

@Configuration
@EnableOAuth2Sso
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Bean
public AuthoritiesExtractor userAuthorityExtractor() {
return new UserAuthorityExtractor();
}  

我的控制器方法 /me 返回如下所示的主体对象。

@RestController
public class UserController {
@GetMapping("/me")
public Principal currentUser (Principal principal) {
return principal;
}

返回的对象不显示权限“MYROLE”。我错过了什么？

Answer 1

首先，在提取器中设置断点。您的代码甚至可以执行吗？我会在这里设置断点：

@Bean
public AuthoritiesExtractor userAuthorityExtractor() {
    return new UserAuthorityExtractor();
} 

如果不是这样，那么您需要弄清楚为什么您的 bean 没有被调用。我会确保您的SecurityConfig 实际上被component scanner 接收。

至于你的控制器。

在 Spring Security 中，不能保证 Principal 对象也拥有权限。主体本身就是一个非常简单的界面

/**
 * Returns the name of this principal.
 *
 * @return the name of this principal.
 */
public String getName();

所以你想要的是Authentication 对象，因为该接口暴露了getAuthorities

@RestController
public class UserController {

    @GetMapping("/me")
    public Principal currentUser (Authentication authentication) {
        //do what you need with authorities
        Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
        return authentication.getPrincipal();
    }

您还可以查看默认实现

public List<GrantedAuthority> extractAuthorities(Map<String, Object> map) {
    String authorities = "ROLE_USER";
    if (map.containsKey("authorities")) {
        authorities = this.asAuthorities(map.get("authorities"));
    }

    return AuthorityUtils.commaSeparatedStringToAuthorityList(authorities);
}