在本文中，咱们将展现怎么依据Spring Security中界说的用户人物过滤JSON序列化输出。

为什么咱们需求过滤？

让咱们考虑一个简略但常见的用例，咱们有一个Web应用程序，为不同人物的用户供给服务。例如，这些人物为User和Admin。

首先，让咱们界说一个要求，即Admin能够完全拜访经过公共REST API公开的目标的内部状况。相反，User用户应该只看到一组预界说的目标特点。

咱们将运用Spring Security结构来防止对Web应用程序资源的未授权拜访。

让咱们界说一个目标，咱们将在API中作为REST呼应回来数据：

class Item {
    private int id;
    private String name;
    private String ownerName;
    // getters
}

当然，咱们能够为应用程序中的每个人物界说一个独自的数据传输目标类。但是，这种办法会为咱们的代码库引入无用的重复或复杂的类层次结构。

另一方面，咱们能够运用Jackson库的JSON View功能。正如咱们将在下一节中看到的那样，它使得自界说JSON表示就像在字段上添加注释一样简略。

@JsonView注释

Jackson库支撑经过运用@JsonView注解符号咱们想要包含在JSON表示中的字段来界说多个序列化/反序列化上下文。此注解具有Class类型的必需参数，用于区分上下文。

运用@JsonView在咱们的类中符号字段时，咱们应该记住，默认情况下，序列化上下文包含未清晰符号为视图一部分的一切特点。为了掩盖此行为，咱们能够禁用DEFAULT_VIEW_INCLUSION映射器功能。

首先，让咱们界说一个带有一些内部类的View类，咱们将它们用作@JsonView注解的参数：

class View {
    public static class User {}
    public static class Admin extends User {}
}

接下来，咱们将@JsonView注解添加到咱们的类中，使ownerName只能拜访admin人物：

@JsonView(View.User.class)
private int id;
@JsonView(View.User.class)
private String name;
@JsonView(View.Admin.class)
private String ownerName;

怎么将@JsonView注解与Spring Security 集成

现在，让咱们添加一个包含一切人物及其名称的枚举。之后，让咱们介绍JSONView和安全人物之间的映射：

enum Role {
    ROLE_USER,
    ROLE_ADMIN
}
class View {
    public static final Map<Role, Class> MAPPING = new HashMap<>();
    static {
        MAPPING.put(Role.ADMIN, Admin.class);
        MAPPING.put(Role.USER, User.class);
    }
    //...
}

最终，咱们来到了整合的中心点。为了绑定JSONView和Spring Security人物，咱们需求界说适用于咱们应用程序中一切控制器办法的控制器。

到目前为止，咱们仅有需求做的就是掩盖AbstractMappingJacksonResponseBodyAdvice类的 beforeBodyWriteInternal办法：

@RestControllerAdvice
class SecurityJsonViewControllerAdvice extends AbstractMappingJacksonResponseBodyAdvice {
    @Override
    protected void beforeBodyWriteInternal(
      MappingJacksonValue bodyContainer,
      MediaType contentType,
      MethodParameter returnType,
      ServerHttpRequest request,
      ServerHttpResponse response) {
        if (SecurityContextHolder.getContext().getAuthentication() != null
          && SecurityContextHolder.getContext().getAuthentication().getAuthorities() != null) {
            Collection<? extends GrantedAuthority> authorities
              = SecurityContextHolder.getContext().getAuthentication().getAuthorities();
            List<Class> jsonViews = authorities.stream()
              .map(GrantedAuthority::getAuthority)
              .map(AppConfig.Role::valueOf)
              .map(View.MAPPING::get)
              .collect(Collectors.toList());
            if (jsonViews.size() == 1) {
                bodyContainer.setSerializationView(jsonViews.get(0));
                return;
            }
            throw new IllegalArgumentException("Ambiguous @JsonView declaration for roles "
              + authorities.stream()
              .map(GrantedAuthority::getAuthority).collect(Collectors.joining(",")));
        }
    }
}

这样，咱们的应用程序的每个呼应都将经过这个路由，它将依据咱们界说的人物映射找到合适的回来成果。请注意，此办法要求咱们在处理具有多个人物的用户时要当心。