就之前的权限问题，例如一个user1登录成功去访问level1的资源当然没有问题
但是页面还呈现了其他权限的资源，比如level2 & level3 既然呈现给了user1，
user1自然而然的就会去访问这些不属于他权限的资源
所以从源头解决的话，用户看不到这些资源不就行了吗？
当前使用的模板引擎是Thymeleaf，这个引擎可以和Security结合使用
注意一定要更换SpringBoot版本为2.0.9的
在Junit测试使用的包都不一样了
把错误的导包信息删除，重新导包即可
组件坐标：
<dependency>
<groupId>org.thymeleaf.extras</groupId>
<artifactId>thymeleaf-extras-springsecurity4</artifactId>
<version>3.0.4.RELEASE</version>
</dependency>
页面的导航栏进行设置：
<!--登录注销-->
<div class="right menu">
<!--如果未登录-->
<div sec:authorize="!isAuthenticated()">
<!--未登录-->
<a class="item" th:href="@{/toLogin}">
<i class="address card icon"></i> 登录
</a>
</div>
<!--如果已登录-->
<div sec:authorize="isAuthenticated()">
<a class="item">
<i class="address card icon"></i>
用户名：<span sec:authentication="principal.username"></span>
角色：<span sec:authentication="principal.authorities"></span>
</a>
</div>
<div sec:authorize="isAuthenticated()">
<a class="item" th:href="@{/logout}">
<i class="sign-out icon"></i> 注销
</a>
</div>
</div>
然后这个页面的导航栏的标签才会其效果：
老版本的登陆样式：
效果：
显示的很清楚具备哪些角色
但是这时候注销403禁止访问了。。。
解决注销403的问题
http.csrf().disable();//关闭csrf功能:跨站请求伪造,默认只能通过post方式提交logout请求
<div>
<br>
<div class="ui three column stackable grid">
<div class="column" sec:authorize="hasRole(‘vip1‘)">
<div class="ui raised segment">
<div class="ui">
<div class="content">
<h5 class="content">Level 1</h5>
<hr>
<div><a th:href="@{/level1/1}"><i class="bullhorn icon"></i> Level-1-1</a></div>
<div><a th:href="@{/level1/2}"><i class="bullhorn icon"></i> Level-1-2</a></div>
<div><a th:href="@{/level1/3}"><i class="bullhorn icon"></i> Level-1-3</a></div>
</div>
</div>
</div>
</div>
<div class="column" sec:authorize="hasRole(‘vip2‘)">
<div class="ui raised segment">
<div class="ui">
<div class="content">
<h5 class="content">Level 2</h5>
<hr>
<div><a th:href="@{/level2/1}"><i class="bullhorn icon"></i> Level-2-1</a></div>
<div><a th:href="@{/level2/2}"><i class="bullhorn icon"></i> Level-2-2</a></div>
<div><a th:href="@{/level2/3}"><i class="bullhorn icon"></i> Level-2-3</a></div>
</div>
</div>
</div>
</div>
<div class="column" sec:authorize="hasRole(‘vip3‘)">
<div class="ui raised segment">
<div class="ui">
<div class="content">
<h5 class="content">Level 3</h5>
<hr>
<div><a th:href="@{/level3/1}"><i class="bullhorn icon"></i> Level-3-1</a></div>
<div><a th:href="@{/level3/2}"><i class="bullhorn icon"></i> Level-3-2</a></div>
<div><a th:href="@{/level3/3}"><i class="bullhorn icon"></i> Level-3-3</a></div>
</div>
</div>
</div>
</div>
</div>
</div>
可以看到首页什么资源都没有了，因为我们没有作为用户访问
用户只能访问他们所具备的角色所具备的权限：
// 记住我
http.rememberMe();
登录页会多出一个选项：
如果密码错误，则不会生效，并且提示错误信息：
如果登陆成功，则把浏览器关闭：再打开访问：
可以看到直接登陆成功了
可以看到是一个Cookie保证我们的信息验证，保存周期14天
如果浏览器清除了Cookie，那么这个记住我就作废了
// 设置自己的登陆页
http.formLogin().loginPage("/toLogin");
登陆页面的表单设置为：
<form th:action="@{/toLogin}" method="post">
【SpringSecurity】02 权限控制、自定义登陆、记住我
原文：https://www.cnblogs.com/mindzone/p/13396411.html