UserDetails 接口默认有几个方法需要实现，这几个方法中，除了 isEnabled 返回了正常的 enabled之外，其他的方法我都统一返回 true，因为我这里的业务逻辑并不涉及到账户的锁定、密码的过期等等，只有账户是否被禁用，因此只处理了isEnabled 方法，这一块小伙伴可以根据自己的实际情况来调整。

3. 自定义UserDetailsService

创建好用户实体之后，接下来我们需要创建UserDetailsServiceImpl ，用来执行登录等操作，UserDetailsServiceImpl 需要实现 UserDetailsService 接口，如下：

package com.cr.dgp.web.config.security;

import com.bcy.ipg.user.model.User;
import com.bcy.ipg.user.service.RoleService;
import com.bcy.ipg.user.service.UserService;
import com.cr.mdsp.common.security.entity.SecurityUser;
import org.springframework.beans.BeanUtils;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserService userService;
    @Autowired
    private RoleService roleService;

    @Override
    public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
        //根据用户名查询数据
        User user = userService.getUserByUsername(userName);
        if (user == null) {
            throw new UsernameNotFoundException("用户不存在");
        }
        SecurityUser securityUser = new SecurityUser();
        BeanUtils.copyProperties(user, securityUser);
        //在此处塞入该用户所对应的权限,可以在其他地方设入,其他方法自行查阅
        securityUser.setRoles(roleService.getRoleListByUserId(null, user.getId()));

        return securityUser;
    }

}

3.1 重点讲解

????????这里最主要是实现了 UserDetailsService 接口中的 loadUserByUsername 方法，在执行登录的过程中，这个方法将根据用户名去查找用户，如果用户不存在，则抛UsernameNotFoundException 异常，否则直接将查到的用户返回。
UserService用来执行数据库的查询操作, 本文的重点不在数据库查询所以不做详解了，只简单描述方法的用处。

4.自定义 FilterInvocationSecurityMetadataSource

????????FilterInvocationSecurityMetadataSource 有一个默认的实现类DefaultFilterInvocationSecurityMetadataSource，该类的主要功能就是通过当前的请求地址，获取该地址需要的用户角色，咱们有样学样，自己也定义一下FilterInvocationSecurityMetadataSource，如下：

package com.cr.dgp.web.filter.security;

import com.bcy.ipg.user.model.Menu;
import com.bcy.ipg.user.model.Role;
import com.bcy.ipg.user.model.RoleMenu;
import com.bcy.ipg.user.service.MenuService;
import com.bcy.ipg.user.service.RoleMenuService;
import com.bcy.ipg.user.service.RoleService;
import org.apache.metamodel.util.CollectionUtils;
import org.pentaho.di.core.util.StringUtil;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.security.access.ConfigAttribute;
import org.springframework.security.access.SecurityConfig;
import org.springframework.security.web.FilterInvocation;
import org.springframework.security.web.access.intercept.FilterInvocationSecurityMetadataSource;
import org.springframework.stereotype.Component;
import org.springframework.util.AntPathMatcher;
import java.util.ArrayList;
import java.util.Collection;
import java.util.List;
import java.util.Set;
import java.util.stream.Collectors;


@Component
public class CustomFilterInvocationSecurityMetadataSource implements
        FilterInvocationSecurityMetadataSource {
    @Autowired
    MenuService menuService;
    AntPathMatcher antPathMatcher = new AntPathMatcher();

    @Autowired
    private RoleMenuService roleMenuService;
    @Autowired
    private RoleService roleService;

    @Override
    public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
        String requestUrl = ((FilterInvocation) object).getRequestUrl();
        if (antPathMatcher.match("/login*", requestUrl)) {
            return null;
        }
        List<Menu> menus = menuService.getAllMenuList();
        for (Menu menu : menus) {
            if (StringUtil.isEmpty(menu.getUrl())) {
                continue;
            }
            if (antPathMatcher.match(menu.getUrl(), requestUrl)) {
                List<Role> roles = menu.getRoles();
                int size = roles.size();
                String[] str = new String[size];
                for (int i = 0; i < menu.size(); i++) {
                    str[i] = roles.get(i).getName();
                }
                return SecurityConfig.createList(str);
            }
        }
        //没有匹配上的资源，都是登录访问
        return SecurityConfig.createList("ROLE_LOGIN");
    }

    @Override
    public Collection<ConfigAttribute> getAllConfigAttributes() {
        return null;
    }

    @Override
    public boolean supports(Class<?> aClass) {
        return true;
    }
}

4.1重点讲解

（1）一开始注入了 MenuService，MenuService 的作用是用来查询数据库中 url pattern 和 role 的对应关系，查询结果是一个 List 集合，集合中是 Menu 类，Menu 类有两个核心属性，一个是 urlpattern，即匹配规则(比如 /admin/** )，还有一个是 List,即这种规则的路径需要哪些角色才能
访问。
（2）我们可以从 getAttributes(Object o) 方法的参数 o 中提取出当前的请求 url，然后将这个请求 url和数据库中查询出来的所有 url pattern一一对照，看符合哪一个url pattern，然后就获取到该
url pattern 所对应的角色，当然这个角色可能有多个，所以遍历角色，最后利用SecurityConfig.createList 方法来创建一个角色集合。
（3）第二步的操作中，涉及到一个优先级问题，比如我的地址是 /employee/basic/hello ,这个地址
既能被 /employee/** 匹配，也能被 /employee/basic/** 匹配，这就要求我们从数据库查询
的时候对数据进行排序，将 /employee/basic/** 类型的 url pattern 放在集合的前面去比较。
（4）如果 getAttributes(Object o) 方法返回 null 的话，意味着当前这个请求不需要任何角色就能访问，甚至不需要登录。但是在我的整个业务中，并不存在这样的请求，我这里的要求是，所有未匹配到的路径，都是认证(登录)后可访问，因此我在这里返回一个 ROLE_LOGIN 的角色，这种角色在我的角色数据库中并不存在，因此我将在下一步的角色比对过程中特殊处理这种角色。
（5）如果地址是 /login，这个是登录页，不需要任何角色即可访问，直接返回 null。
（6） getAttributes(Object o) 方法返回的集合最终会来到 AccessDecisionManager 类中，接下来我们再来看 AccessDecisionManager 类。

5.自定义 AccessDecisionManager

定义CustomAccessDecisionManager 类实现 AccessDecisionManager 接口，如下：

5.1 重点讲解

（1） decide 方法接收三个参数，其中第一个参数中保存了当前登录用户的角色信息，第三个参数则是UrlFilterInvocationSecurityMetadataSource 中的 getAttributes 方法传来的，表示当前请求需要的角色（可能有多个）。
（2）如果当前请求需要的权限为 ROLE_LOGIN 则表示登录即可访问，和角色没有关系，此时我需要判断 authentication 是不是 AnonymousAuthenticationToken 的一个实例，如果是，则表示当前用户没有登录，没有登录就抛一个 BadCredentialsException 异常，登录了就直接返回，则这个
请求将被成功执行。
（3）遍历 collection，同时查看当前用户的角色列表中是否具备需要的权限，如果具备就直接返回，否则就抛异常。
（4）这里涉及到一个 all 和 any 的问题：假设当前用户具备角色 A、角色 B，当前请求需要角色 B、角色 C，那么是要当前用户要包含所有请求角色才算授权成功还是只要包含一个就算授权成功？我这里采用了第二种方案，即只要包含一个即可。小伙伴可根据自己的实际情况调整 decide 方法中的逻辑。

6.配置WebSecurityConfigurerAdapter

6.1.重点讲解

7.效果展示

特别鸣谢一位名为：“江南一点雨” 作者所编写的开源项目? 微人事

[JavaScript知识库]SpringSecurity实现动态菜单访问权限管理

1.简单介绍权限数据库设置

? 1.1重点讲解

2. 自定义UserDetails

?2.1.重点讲解