春のセキュリティを使用してオブジェクトを認証しますか？

Question

私は2つのドメインモデル OrganizationとTicketQuestionを持つアプリケーションを持っています。 認証されたユーザー、このようないくつかの組織に、各ユーザーの許可証 ことを解決するために、組織の性質を持っているチケット作成したい：Organization2

TicketController.javaにOrganization1

User2の許可に

User1の許可証は、保存を持っていますチケットを作成するメソッド。 私はこの脆弱性があります：User1はOrganization2を持つチケットでメソッドを呼び出すことができます（これにはアクセス権がありません）。 GETメソッドで認証データにHibernateフィルタを使用していますが、ユーザーが永続化したいと思うデータを保護する方法を知っていません。

/ticket/save 

{ 
    id:-1, 
    organization:{ 
    id:2, 
    title:'organization2' //not allowed this organization 
    } 
} 


@Entity 
@Table(name = "core_organization_structure") 
public class OrganizationStructure { 
    @Id 
    @GeneratedValue(strategy = GenerationType.IDENTITY) 
    private Long id; 

    @Column(name = "title", nullable = false) 
    private String title; 
} 

@Entity 
@Table(name = "core_Ticket") 
public class Ticket { 


    ..some prop 

    @ManyToOne 
    @JoinColumn(name = "org_id", nullable = false) 
    private OrganizationStructure org; 
} 

Answer 1

フォームが送信されたら、認証されたユーザーのアクセス許可を読み込み、実行しようとしている操作を実行する権限があることを確認する必要があります。

権限を持たない組織のチケットをユーザーが作成しようとしている場合。レコードを永続させず、適切に処理してください。 （例外を投げて401を返すなど）