96 lines
2.8 KiB
Markdown
96 lines
2.8 KiB
Markdown
|
# 后端权限配置解决方案
|
|||
|
|
|
|||
|
|
## 问题描述
|
|||
|
|
当前 `/api/users/me` 接口返回 403 Forbidden 错误，原因是 Spring Security 配置中没有明确指定该路径的权限规则。
|
|||
|
|
|
|||
|
|
## 解决方案
|
|||
|
|
|
|||
|
|
### 方案一：在 SecurityConfig 中添加用户API权限配置（推荐）
|
|||
|
|
|
|||
|
|
在 `SecurityConfig.java` 的 `filterChain` 方法中，添加用户相关API的权限配置：
|
|||
|
|
|
|||
|
|
```java
|
|||
|
|
.authorizeHttpRequests(authz -> authz
|
|||
|
|
// ... 其他配置
|
|||
|
|
|
|||
|
|
// 用户相关接口需认证
|
|||
|
|
.requestMatchers("/api/users/**").authenticated()
|
|||
|
|
|
|||
|
|
// 聊天相关接口需认证
|
|||
|
|
.requestMatchers("/qa/**").authenticated()
|
|||
|
|
|
|||
|
|
// 所有其他请求需认证
|
|||
|
|
.anyRequest().authenticated()
|
|||
|
|
)
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### 方案二：实现 /api/users/me 接口
|
|||
|
|
|
|||
|
|
在 `UserController.java` 中添加获取当前用户信息的接口：
|
|||
|
|
|
|||
|
|
```java
|
|||
|
|
@GetMapping("/me")
|
|||
|
|
@Operation(summary = "获取当前用户信息", description = "获取当前登录用户的详细信息")
|
|||
|
|
@ApiResponse(responseCode = "200", description = "成功获取用户信息")
|
|||
|
|
public ResponseResult<User> getCurrentUser(Authentication authentication) {
|
|||
|
|
String username = authentication.getName();
|
|||
|
|
User user = userMapper.selectOneByUsername(username);
|
|||
|
|
|
|||
|
|
if (user == null) {
|
|||
|
|
return ResponseResult.error("用户不存在");
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// 隐藏敏感信息
|
|||
|
|
user.setPassword(null);
|
|||
|
|
|
|||
|
|
return ResponseResult.success(user);
|
|||
|
|
}
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### 方案三：使用 @PreAuthorize 注解（细粒度控制）
|
|||
|
|
|
|||
|
|
如果需要更细粒度的权限控制，可以在控制器方法上使用 @PreAuthorize：
|
|||
|
|
|
|||
|
|
```java
|
|||
|
|
@GetMapping("/me")
|
|||
|
|
@PreAuthorize("isAuthenticated()")
|
|||
|
|
public ResponseResult<User> getCurrentUser() {
|
|||
|
|
// 实现代码
|
|||
|
|
}
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 前端降级方案（已实现）
|
|||
|
|
|
|||
|
|
前端已经实现了智能降级方案：
|
|||
|
|
|
|||
|
|
1. **首选方案**：调用 `/api/users/me` 获取最新用户信息
|
|||
|
|
2. **降级方案**：如果接口返回 403 或其他错误，使用本地缓存的用户信息
|
|||
|
|
3. **用户体验**：提供手动刷新按钮，让用户可以尝试更新信息
|
|||
|
|
|
|||
|
|
## 建议步骤
|
|||
|
|
|
|||
|
|
1. **短期方案**：先使用方案一，在 SecurityConfig 中配置权限规则
|
|||
|
|
2. **长期方案**：实现方案二，完善用户信息获取接口
|
|||
|
|
3. **测试验证**：使用前端测试程序验证接口是否正常工作
|
|||
|
|
|
|||
|
|
## 安全考虑
|
|||
|
|
|
|||
|
|
1. 确保 `/api/users/me` 只返回当前登录用户的信息
|
|||
|
|
2. 隐藏敏感字段（如密码、salt等）
|
|||
|
|
3. 考虑添加响应缓存，减少数据库查询
|
|||
|
|
4. 记录访问日志，监控异常访问
|
|||
|
|
|
|||
|
|
## 测试命令
|
|||
|
|
|
|||
|
|
修改后端配置后，可以使用以下命令测试：
|
|||
|
|
|
|||
|
|
```bash
|
|||
|
|
# 获取token（先登录）
|
|||
|
|
curl -X POST http://localhost:8080/api/auth/login \
|
|||
|
|
-H "Content-Type: application/json" \
|
|||
|
|
-d '{"contact":"18362903328","code":"123456"}'
|
|||
|
|
|
|||
|
|
# 使用token访问用户信息
|
|||
|
|
curl -X GET http://localhost:8080/api/users/me \
|
|||
|
|
-H "Authorization: Bearer YOUR_TOKEN_HERE"
|
|||
|
|
```
|