Apache shiro暗黙のアクセス許可

Question

ユーザがuser:edit:1の権限を持っていて、注釈を使用している場合@RequiresPermissions("user:edit") shiroが例外をスローしているのはなぜですか？その許可は、彼らがuser:edit:1を持っているという事実によって示唆されるべきではありませんか？もし私が@RequriesPermissions("user:edit:1")を入れたらそれはうまくいきますが、操作の文脈の中で、私は何が1なのかまだ分かりませんので、後ほどメソッドでチェックされますが、メソッドに入るのを避けたいと思います。許可はuser:editです。

Answer 1

"user:edit"は、"user:edit:1"を意味しますが、それ以外の方法ではありません。 @RequiresPermissions("user:edit")を引き続き使用し、"1"をあなたの方法でチェックすることができます。ワイルドカード@RequiresPermissions("user:edit:*")も使用できますが、これはまったく同じですが、わかりました。私は考えていない

Answer 2

は、ascandrolisの答えは史郎ドキュメントの状態から、正しいです：

しかしはるかに少ない理想的なランタイムチェックのため、次のとおりです。

if (SecurityUtils.getSubject().isPermitted("printer:print")) { //print the document }

なぜですか？ 2番目の例では、「次のコードブロックを実行するには、どのプリンタにも印刷できなければなりません」と記載されているためです。しかし、 "printer：print"は "printer：print：*"と同等です！

（Shiro Documentation）

そこで@RequiresPermissions("user:edit:*")は、プリンシパルが、任意のユーザが編集できるようにする必要がある、すなわち@RequiresPermissions("user:edit")、同じことを意味します。