Spring Security中AuthorizationManager简介
内容提要
Spring Security是Spring框架的扩展，用于实现安全实践，包括身份验证和授权。AuthorizationManager是一个接口，用于检查经过身份验证的实体是否有权访问安全资源。它有多种实现，如AuthenticatedAuthorizationManager和AuthoritiesAuthorizationManager。可以使用多个AuthorizationManager实例来满足不同的需求。可以自定义AuthorizationManager来做出特定的授权决策。
延伸解读
从AccessDecisionManager到AuthorizationMana
文章指出，AuthorizationManager接口在Spring Security 5.0中引入，取代了原有的AccessDecisionManager接口。虽然AccessDecisionManager在最新版本中仍然存在，但已被弃用，应避免使用。这一变化反映了Spring Security授权模型的简化：新接口仅包含check和verify两个方法，分别返回授权决策或抛出异常，使授权逻辑更清晰、更易组合。对于维护旧项目的开发者，了解这一替代关系有助于规划迁移。
默认授权管理器的行为与影响
文章提到，Spring Boot为基于Web的应用程序创建的默认AuthorizationManager是AuthenticatedAuthorizationManager。默认情况下，所有端点都允许访问，无论角色或权限如何，只要请求来自经过身份验证的实体。这意味着如果开发者不显式配置授权规则，任何通过身份验证的用户都能访问所有资源。因此，在生产环境中，必须根据业务需求自定义授权规则，避免过度宽松的默认策略。
多个AuthorizationManager实例的协同工作
文章通过SecurityFilterChain示例说明，实际应用中很少只使用单个AuthorizationManager实例。例如，hasRole()和hasAnyRole()会分别创建AuthorityAuthorizationManager实例，并委托给AuthoritiesAuthorizationManager；permitAll()则使用无操作实现。每个请求匹配器或方法注解都可能生成新的实例。这种设计允许针对不同URL或方法灵活组合授权逻辑，但也要求开发者理解委托链，以便调试和优化授权决策。
自定义AuthorizationManager的灵活性与应用场景
文章展示了如何实现自定义AuthorizationManager，通过check方法根据RequestAuthorizationContext访问HTTP请求信息（如cookie、标头），或委托第三方服务、数据库、缓存等做出授权决策。这种灵活性适用于标准实现无法满足的复杂场景，例如基于动态属性或外部系统的权限判断。但自定义实现需要开发者自行处理决策逻辑和异常，并确保其与Spring Security生态的兼容性。
Q&A
什么是Spring Security中的AuthorizationManager？
AuthorizationManager是一个接口，用于检查经过身份验证的实体是否有权访问安全资源。
Spring Security中有哪些AuthorizationManager的实现？
主要实现包括AuthenticatedAuthorizationManager、AuthoritiesAuthorizationManager、AuthorityAuthorizationManager、RequestMatcherDelegatingAuthorizationManager和ObservationAuthorizationManager。
如何自定义一个AuthorizationManager？
可以通过实现AuthorizationManager接口并重写check方法来创建自定义AuthorizationManager。
AuthenticatedAuthorizationManager的作用是什么？
它根据实体的身份验证状态返回授权决策，支持匿名、记住我和完全经过身份验证的状态。
如何在Spring Security中使用多个AuthorizationManager？
可以在SecurityFilterChain中配置多个AuthorizationManager实例，以满足不同的授权需求。
AuthorizationManager接口的主要方法有哪些？
AuthorizationManager接口包含check和verify两个方法，分别用于返回授权决策和执行授权检查。
