Question

spring security如何实现用户权限动态刷新?

是用户权限的动态刷新，就是用户的权限被更改了，那么登陆中的用户权限也会被更改，包括用户的密码，权限信息，是需要修改user-service吗？

Answer 1

可以修改user-service，但不要用认证管理器调用了，自己调用。
认证管理器在认证时通过user-service把权限信息加载到内存中，修改后可通过SecurityContextHolder.getContext().getAuthentication()和setAuthentication(authentication)访问权限。

追问

有两个问题。

1. getAuthentication获取到的是此次访问的用户的信息，那么我需要做的是修改别人的权限，怎么做？

2. Authentication是个接口，那么Security保存的实现类是哪个？
   

追答

这个问题有点儿复杂

2. Authentication的实现类有很多，如：CasAuthenticationToken, JaasAuthenticationToken, UsernamePasswordAuthenticationToken，取决于你的认证方式。如果使用DaoAuthenticationProvider，就用UsernamePasswordAuthenticationToken实现类。如果所有权

1. 列表同时改，就直接setAuthentication整体改。

可以直接参考AbstractUserDetailsAuthenticationProvider的实现方法，直接new出一个。

    protected Authentication createSuccessAuthentication(Object principal, Authentication authentication,
            UserDetails user) {
        UsernamePasswordAuthenticationToken result = new UsernamePasswordAuthenticationToken(principal,
                authentication.getCredentials(), authoritiesMapper.mapAuthorities(user.getAuthorities()));
        result.setDetails(authentication.getDetails());
        return result;
    }

Spring Security只是提供了一种安全控制的解决方案，根据实际应用不同具体实现细节都需要改的。

追问

再来2个问题。

1. 我使用的是UsernamePasswordAuthenticationToken，认证方式的provider没有配置，默认的provider是什么？

2. setAuthentication不是修改单个用户的吗？如何我管理员更改了正在登录中的用户，我想更改那个登录中的用户的缓存，咋改？

追答

1. 如果你使用<authentication-provider>标签配置，Spring Security默认创建DaoAuthenticationProvider Bean。

2. 你说的登录中的用户的缓存我不知道有没有，如果你能得到用户实体列表应该就好办了，有一个管理Session的注册表：SessionRegistryImpl，里面管理着由两个Map构成的列表：

    /** <principal:Object,SessionIdSet> */
    private final ConcurrentMap<Object,Set<String>> principals = new ConcurrentHashMap<Object,Set<String>>();
    /** <sessionId:Object,SessionInformation> */
    private final Map<String, SessionInformation> sessionIds = new ConcurrentHashMap<String, SessionInformation>();

第一个Map为<用户实体, SessionId集>，第二个Map为<sessionId, SessionInformation>

其中的Object就是用户实体，对应那个UserDetail对象。

因为Spring Security可能采用并发控制（就是说一个用户可能允许多个Session同时登录），所以可能不止一个Session。

当修改某个用户的权限后，可根据用户实体定位到相应SessionID，然后再检查对应的SessionInformation看Session是否有效，如果有效，再通过SessionID获得真正的Session，进而修改当前权限。