@PreAuthorizeのカスタムクラスプリンシパル

Question

UPDATE（17.04.2012）：私は結果として何を持っていますか。

ルートのcontext.xml：

<context:annotation-config/> 
<context:component-scan base-package="com.grsnet.qvs.controller.web"/> 
<security:global-method-security pre-post-annotations="enabled" /> 
<bean id="permissionManager" class="com.grsnet.qvs.auth.PermissionManager"/> 

PermissionManager.java

package com.grsnet.qvs.auth; 

import com.grsnet.qvs.model.Benutzer; 

public class PermissionManager { 

public PermissionManager() {} 

public boolean hasPermissionU01(Object principal, Integer permissionLevel) { 
    return ((Benutzer)principal).getPermission().getU_01() >= permissionLevel; 
} 
} 

コントローラー：

@PreAuthorize("@permissionManager.hasPermissionU01(principal, 1)") 
@RequestMapping(value = "/u01", method = RequestMethod.GET) 
public String listU01(HttpServletRequest request, Map<String, Object> map) throws Exception { 
    setGridFilters(map); 
    return "u01panel";  
} 

は、私がPermissionManager.hasPermissionU01にブレークポイントを設定します。私のセキュリティ注釈は無視されたようです。

理由は何ですか？私のミスはどこですか？

ありがとうございました。 UPDATE

OF

END私はここで聞いているグーグルの時間後。 私は

1. は、Spring MVCのアプリ
2. CustomUserDetailService

3. カスタムUserDetailsクラス

   public class Benutzer extends User implements UserDetails { 
   ... 
       private Permission permission = null; 
   ... 
   } 
   

4. 権限クラス、非常に良いではありません実現していますが、私はそれを使用する必要があります。

   public class Permission { 
   ... 
       private Integer u_01 = 0; 
   ... 
   } 
   

5. コントローラ

   @Controller 
   public class U01Controller { 
   
       @RequestMapping(value = "/u01", method = RequestMethod.GET) 
       public String listU01(HttpServletRequest request, Map<String, Object> map) throws Exception { 
   

マイタスク全体でコントローラを確保し、内部の方法を確保するためです。 私はこのようないくつか書きたいと思います：

@PreAuthorize("principal.permission.u_01>0") 
public class U01Controller { 

と

@RequestMapping(value = "/u01", method = RequestMethod.GET) 
@PreAuthorize("principal.permission.u_01=2") 
public String listU01(HttpServletRequest request, Map<String, Object> map) throws Exception { 

ACL、プリンシパルへのアクセスを得るためにUserDetailsインターフェースを使用しているようだが。 ACLの中に型キャストするのはおそらくですか？

@PreAuthorize("(com.grsnet.qvs.model.Benutzer)principal.permission.u_01=2") 

ありがとうございます。

Answer 1

おそらくだと思いますが（それを試しましたか？）、最良の方法はアクセス許可の決定を行う方法を知っている別のクラスを作成することです。特に、それは次のように行うことができる：

public class Decision { 
    private Decision() {} // no instance, please 

    // Type is probably a bit too wide... 
    static boolean mayList(Object principal) { 
     return ((com.grsnet.qvs.model.Benutzer)principal).permission.u_01 == 2; 
    } 

    // etc... 
} 

次に、あなたの@PreAuthorizeは次のように書くことができます：意思決定プロセスは、あなたがAを使用して入ることだろう、より複雑だった場合

@PreAuthorize("Decision.mayList(principal)") 

豆は意思決定を行うために。これは春ELあるのでその後、あなたは（あなたがdecider Beanへの委任していると仮定して）記述します

@PreAuthorize("@decider.mayList(principal)") 

（もちろん、確かに上記の私の小さなDeciderクラスがBeanではありません...）

Answer 2

プロレンをドナルズ溶液で溶解した。 私のエラーが投稿されました

<security:global-method-security pre-post-annotations="enabled" /> 

ルートコンテキストです。

注意してservletContextに配置してください。

Donal、もう一度ありがとうございます。