ユーザーはREST APIリクエストで自分のデータにしかアクセスできないようにしてください

Question

Jersey、Springで今すぐREST APIを使用しています。後でAndroid/iOSでアクセスします。 ジャージーリソースに、たとえば@Path("/user/{userID}/settings"のようなユーザー設定がある場合）。すべてのユーザーが自分の設定にのみアクセスできるようにするにはどうすればよいですか？私はspring-security-oauth2についてたくさん読んでいます。しかし、限り、私はあなたが本当にユーザであることを確認することができますが、彼/彼女は他のユーザーの設定にアクセスすることができます違いを確認しないことを理解！

Answer 1

必要なものを認可といいます。

認可は、各ユーザーのアクセスのレベルをdistingushすることができます。 実際には大きな話題です。役割、アクセス許可、ACLを使用して、サービスを保護することができます。あなたのCustomUserDetailsを作成

public Settings find() { 
    UserDetails customUserDetails = (CustomUserDetails) SecurityContextHolder.getContext().getAuthentication().getPrincipal(); 
    return setingsService.findByUser(customUserDetails.getUsername()); 
} 

：

あなたのタスクを解決するための最も簡単な方法は次のように、パス/user/settingsを使用して認証yourseftを見つけることです

public class CustomUserDetails implements UserDetails { 

    private User user; 

    private Collection<? extends GrantedAuthority> authorities; 

    public CustomUserDetails(User user) { 
     this.user = user; 
    } 

    public User getUser() { 
     return user; 
    } 

    @Override 
    public Collection<? extends GrantedAuthority> getAuthorities() { 
     List<GrantedAuthority> authorities = new ArrayList<>(); 

     for (Authority authority : user.getAuthorities()) { 
      authorities.add(new SimpleGrantedAuthority(authority.getName())); 
     } 

     return authorities; 
    } 

    @Override 
    public String getPassword() { 
     return user.getPassword(); 
    } 

    @Override 
    public String getUsername() { 
     return user.getUsername(); 
    } 

    // implement other methods 

} 

をそしてCustomUserDetailsS​​ervice：

@Service 
public class CustomUserDetailsService implements UserDetailsService { 

    @Autowired 
    private UserService userService; 

    @Override 
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { 
     User user = userService.findByUsername(username); 
      // check if exist 
     } 

     return new CustomUserDetails(user); 
    } 
}