SpringSecurity如何动态加载用户角色权限，实现高效登录与鉴权？

本文共计1498个文字，预计阅读时间需要6分钟。

很多人觉得Spring Security实现登录验证很复杂，我刚开始学习时也有这样的感觉。因为长时间没有接触，我一度觉得将自定义的用于接收用户名和密码的Controller与Spring Security结合使用很难。这是一个难题。

很多人觉得Spring Security实现登录验证很难，我最开始学习的时候也这样觉得。因为我好久都没看懂我该怎么样将自己写的用于接收用户名密码的Controller与Spring Security结合使用，这是一个先入为主的误区。后来我搞懂了：根本不用你自己去写Controller。

你只需要告诉Spring Security用户信息、角色信息、权限信息、登录页是什么？登陆成功页是什么？或者其他有关登录的一切信息。具体的登录验证逻辑它来帮你实现。

一、动态数据登录验证的基础知识

在本号之前的文章中，已经介绍了Spring Security的formLogin登录认证模式，RBAC的权限控制管理模型，并且针对Spring Security的登录认证逻辑源码进行了解析等等。我们所有的用户、角色、权限信息都是在配置文件里面写死的，然而在实际的业务系统中，这些信息通常是存放在RBAC权限模型的数据库表中的。下面我们来回顾一下其中的核心概念：

• RBAC的权限模型可以从用户获取为用户分配的一个或多个角色，从用户的角色又可以获取该角色的多种权限。通过关联查询可以获取某个用户的角色信息和权限信息。
• 在源码解析的文章中，我们知道如果我们不希望用户、角色、权限信息写死在配置里面。