Spring SecurityのRoleVoterにプレフィックスが必要なのはなぜですか？我々のアプリケーションで

Question

は、我々はRoleVoterメカニズムを使用することを計画したが、我々は我々が実施しているセキュリティがベース役割よりも基づいて、よりタスクがあるようROLE_プレフィックスを削除したいです。

技術的に問題はありませんが、ドキュメントではusing the RoleVoter with an empty prefix should be discouragedです。

私はなぜだろうか？

AFAICS、唯一の問題は、プレフィックスなし、RoleVoterは、それがかもしれないがABSTAINの代わりに拒否されたアクセスを返します（そのようIS_AUTHENTICATED_FULLY、IS_AUTHENTICATED_REMEMBERED、...など）とすることを意味しないことが決定に参加する、ということです。

これは空のプレフィックスが付いている唯一の問題であることをご確認ください。事前に

おかげ M.

Answer 1

はい。複数の投票者またはカスタム投票者を使用している場合、消費するべき属性を知るためには何らかの方法が必要です。たとえば、DayOfTheWeekVoterがあり、属性がROLE_USER,DAY_MONDAYの場合、RoleVoterはユーザにロールが割り当てられているため、アクセスを許可すると投票することがありますが、DayOfTheWeekVoterは月曜日ではないためアクセスを拒否する可能性があります。

接頭辞をRoleVoterに設定しないと、ユーザーに「DAY_MONDAY」という名前の権限が割り当てられているかどうかがチェックされます。このシナリオは機能しません。

ロールにのみ関心がある場合は、接頭辞を使用せずに行うことも、を使用しない式（hasRole('user')など）を使用することもできます。