基于用户原则的Spring Data Rest中的存储库访问控制

Question

我正在尝试实现细粒度的访问控制，同时仍然利用Spring数据休息。

我正在努力保护，CrudRepository因此用户只能修改或插入属于他们的数据。我正在使用@PreAuthorize/
@PostAuthorize和@PreFilter/ @PostFilter将访问权限锁定为当前的主体。

到目前为止，我的存储库看起来像这样。

public interface MyRepository extends CrudRepository<MyObject, Integer> {

    @PreAuthorize("#entity.userId == principal.id")
    @Override
    <S extends MyObject> S save(S entity);

    @PreFilter("filterObject.userId === principal.id")
    @Override
    <S extends MyObject> Iterable<S> save(Iterable<S> entities);

    @PostAuthorize("returnObject.userId == principal.id")
    @Override
    MyObject findOne(Integer integer);

    @PostFilter("filterObject.userId == principal.id")
    @Override
    Iterable<MyObject> findAll();

}

尽管这有点乏味，但它确实可以实现我所追求的目标。（如果有人知道更好的方法，请随时让我知道！）

当我遇到的问题是delete()，count()和exists()

    @Override
    long count();

    @Override
    void delete(Integer integer);

    @Override
    void delete(MyObject entity);

    @Override
    void deleteAll();

    @Override
    boolean exists(Integer integer);

这些方法要么采用IntegerID参数，要么根本不采用。看来我必须先选择具有输入ID的实体，然后执行身份验证检查。

存储库中是否可以进行这种类型的授权？

谢谢

编辑：

感谢ksokol，这似乎现在可以正常工作了。

我在@Configuration课上加了一个新豆

@Bean
public EvaluationContextExtension securityExtension() {
    return new SecurityEvaluationContextExtensionImpl();
}

这个bean扩展EvaluationContextExtensionSupport并覆盖getRootObject以返回一个SecurityExpressionRoot保存我的自定义主体的。

public class SecurityEvaluationContextExtensionImpl extends EvaluationContextExtensionSupport {
@Override
public String getExtensionId() {
    return "security";
}

@Override
public Object getRootObject() {
        Authentication authentication =   SecurityContextHolder.getContext().getAuthentication();
        return new SecurityExpressionRoot(authentication){};
    }
}

Answer 1

从Spring Security 4.0开始，您可以在Spring Data
JPA查询中访问安全上下文。

将SecurityEvaluationContextExtensionbean 添加到您的bean上下文中：

@Bean
public SecurityEvaluationContextExtension securityEvaluationContextExtension() {
    return new SecurityEvaluationContextExtension();
}

现在您应该可以Principal在Spring Data查询中进行访问：

@Query("select count(m) from MyObject as m where m.user.id = ?#{ principal?.id }")
@Override
long count();

@Modifying
@Query("delete from MyObject as m where m.id = ?1 and m.user.id = ?#{ principal?.id }")
@Override
void delete(Integer integer);

@Modifying
@Query("delete from MyObject as m where m.id = ?1 and m.user.id = ?#{ principal?.id }")
@Override
void delete(MyObject entity);

@Modifying
@Query("delete from MyObject as m where m.user.id = ?#{ principal?.id }")
@Override
void deleteAll();

@Query("select 1 from MyObject as m where m.id = ?1 and m.user.id = ?#{ principal?.id }")
@Override
boolean exists(Integer integer);

警告。查询可能有错误。我没有时间测试它。