春のセキュリティのベストアクセス 'アクセス'ユーザー

Question

私のアプリケーションにセキュリティを実装する際に問題があります... 私はカスタム認証を持っていて、@PreAuthorizeを使用してユーザー認証を処理しています。これは正常に動作します。今、私は2人のユーザー、「管理者」と「ジョン、方法

@RequestMapping(value = "/load/{id}", method = RequestMethod.GET) 
@ResponseBody 
public StudentYearViewModel load(@PathVariable long id) { 
    return ModelMapper.map(iStudentService.loadByEntityId(id), StudentViewModel.class); 
} 

呼び出すことができます「管理者」は、すべての学生のインスタンスに対してこのメ​​ソッドを使用することができたときに自分のアプリケーションに意味し、ユーザごとにアクセス制御を実装したいが、 「ジョン」は彼のクラスメートだけを見ることができます！ すべてのユーザーがこのメソッドを呼び出すことができます（@ PreAuthorizeは適切ではありませんが、アクセスは制限されています）。 今や一般的なやり方はありますか？

はACLの最良の方法です？（最良の例を持っている？）

HDIVフレームワーク私は私の問題を解決するのに役立つ可能性が？

最適な解決策は何ですか？

Answer 1

AdminとJohn ROLE_ADMIN、ROLE_USERにそれぞれ異なる役割を割り当てます。次に、コントローラ内のロールをチェックし、対応するサービスメソッドをコールして、ロールに従ってデータを返します。

@RequestMapping(value = "/load/{id}", method = RequestMethod.GET) 
@ResponseBody 
public StudentYearViewModel load(HttpServletRequest request, Authentication authentication, @PathVariable long id) { 

    if (request.isUserInRole("ROLE_ADMIN")) { 
     return ModelMapper.map(iStudentService.loadByEntityId(id), StudentViewModel.class); //return all records 
    } if (request.isUserInRole("ROLE_USER")) { 
    String username = authentication.getName(); //get logged in user i.e. john 
     return ModelMapper.map(iStudentService.loadByEntityId(id, username), StudentViewModel.class); //return records by username 
    } 
} 

Answer 2

あなたは@PostFilterと@PreFilterを見てみたいです。彼らはほとんど@PreAuthorizeのように動作しますが、リストから結果を削除できます。また、あなたはまだそれをやっていないと仮定して、あなたのユーザーに異なる役割を割り当てる必要があります。

管理者のようにすべてを見ることができるようなグローバルルールは、PermissionEvaluatorの具体的な実装を記述することで実装できます。あなたはそれを次に追加します。MethodSecurityExpressionHandler

時間は簡単な例です。

このコードはテキストエディタで書かれています。これは、コンパイルして非常に単純

Aを必要なステップを表示するにはここでしかありませんかもしれPermissionEvaluator

public class MyPermissionEvaluator implements PermissionEvaluator { 
    private static final SimpleGrantedAuthority AUTHORITY_ADMIN = new SimpleGrantedAuthority('admin'); 

    public boolean hasPermission(final Authentication authentication, final Object classId, final Object permission) { 
     boolean permissionGranted = false; 

     // admin can do anything 
     if (authentication.getAuthorities().contains(AUTHORITY_ADMIN)) { 
      permissionGranted = true; 
     } else { 
      // Check if the logged in user is in the same class 
     } 
     return permissionGranted; 
    } 

    @Override 
    public boolean hasPermission(Authentication authentication, Serializable targetId, String targetType, 
      Object permission) { 
     return false; 
    } 

} 

その後方法のセキュリティは

@Configuration 
@EnableGlobalMethodSecurity(prePostEnabled = true) 
public class MethodSecurityConfig extends GlobalMethodSecurityConfiguration { 

    @Bean 
    public MethodSecurityExpressionHandler methodSecurityExpressionHandler(final PermissionEvaluator permissionEvaluator){ 
     DefaultMethodSecurityExpressionHandler securityExpressionHandler = new DefaultMethodSecurityExpressionHandler(); 
     securityExpressionHandler.setPermissionEvaluator(permissionEvaluator); 
     return securityExpressionHandler; 
    } 

    @Bean 
    public PermissionEvaluator permissionEvaluator() { 
     return new MyPermissionEvaluator(); 
    } 
} 

は、今、私たちは法

に私たちのフィルタを使用することができます設定

@PostFilter("hasPermission(filterObject.getClassId(), 'READ')") 
@Override 
public List<Student> getAll() { 
    return querySomeStudents(); 
} 

hasPermission i n @PostFilter ACLはMyPermissionEvaluatorにhasPermissionを呼び出します。 filterObjectは、リスト内の個々の項目を参照します。コードがfalseを返す場合は、リストから項目を削除します。