1.概述
Spring Security使用强大的Spring Expression Language（SpEL）提供各种各样的表达式。大多数这些Security表达式是针对上下文对象（当前经过身份验证的主体）进行工作的.
这些表达式的评估由SecurityExpressionRoot执行 - 它提供了Web安全性和方法级安全性的基础。
Spring Security 3.0中引入了使用SpEL表达式作为授权机制的能力，并在Spring Security 4.x中继续使用，有关Spring Security中表达式的完整列表，请查看本指南。
2.Web授权
Spring Security提供两种类型的Web授权 - 基于URL保护整页，并根据安全规则有条件地显示JSP页面的各个部分。
2.1.Full Page授权示例
通过为http元素启用表达式，可以按如下方式保护URL模式：
<http use-expressions = "true">
<intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
...
</http>
使用Java配置：
@Configuration
@EnableWebSecurity
public class SecSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN");
}
...
}
Spring Security会自动为任何角色添加前缀ROLE_。
此处使用hasRole表达式来检查当前经过身份验证的主体是否具有指定的权限。
2.2.在页面授权示例
第二种Web授权基于对Security表达式的评估有条件地显示JSP页面的某些部分。
让我们在pom.xml中为Spring Security JSP taglib支持添加所需的依赖项：
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-taglibs</artifactId>
<version>5.0.5.RELEASE</version>
</dependency>
必须在页面上启用taglib支持才能使用Security命名空间：
<%@ taglib prefix="security"
uri="http://www.springframework.org/security/tags" %>
现在可以在页面上使用hasRole表达式，当页面渲染时，基于经过身份验证的人显示/隐藏HTML元素.
<security:authorize access="hasRole('ROLE_USER')">
This text is only visible to a user
<br/>
</security:authorize>
<security:authorize access="hasRole('ROLE_ADMIN')">
This text is only visible to an admin
<br/>
</security:authorize>
3.方法级别授权示例 - @PreAuthorize
通过使用注释，Security表达式还可用于在方法级别保护业务功能。
注释@PreAuthorize和@PostAuthorize（以及@PreFilter和@PostFilter）支持Spring Expression Language（SpEL）并提供基于表达式的访问控制。
首先，为了使用方法级安全性，我们需要使用@EnableGlobalMethodSecurity在安全性配置中启用它：
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
...
}
等效的XML配置：
<global-method-security pre-post-annotations="enabled" />
然后，我们可以使用Spring @PreAuthorize注释来保护方法：
@Service
public class FooService {
@PreAuthorize("hasRole('ROLE_ADMIN')")
public List<Foo> findAll() { ... }
...
}
现在，只有具有ADMIN角色的用户才能成功调用findAll方法。
请注意，Pre和Post注释是通过代理进行评估和强制执行的 - 如果使用CGLIB代理，则不能将类和公共方法声明为final。
4.编程检查角色
如果请求对象可用，还可以在原始Java代码中以编程方式检查用户权限：
@RequestMapping
public void someControllerMethod(HttpServletRequest request) {
request.isUserInRole("someAuthority");
}
当然，不访问请求，也可以简单的手动校验有特殊权限的已认证通过的用户。可以通过各种方式从Spring Security上下文中获取用户。
5.总结
本教程简要介绍了一般使用Spring Security Expressions，特别是hasRole表达式 - 快速介绍如何保护应用程序的各个部分。
有关Web授权示例，请查看此Github简单教程。方法级安全性示例也在GitHub上。