Spring， 如何验证用户是否是对象的所有者

Question

在我的项目中，我有 3 个实体用户、项目和任务。用户可以创建任务，但该任务将属于项目而不是他，并且一个项目中可以有多个用户。

data class User(
  val userId: String,
)

data class Project(
  val projectId: String,
  val taskIds: List<String>,
  val userIds: List<String>
)

data class Task(
  val taskId: String
)

所以如果数据结构是这样的。如何使用@PreAuthorize来验证任务是否属于用户所在的项目。

@PreAuthorize("authentication.principal.userId == #???")
@GetMapping("/task/{taskId}")
public Task getTask(String taskId) {
}

Answer 1

您可以在 SpEl 表达式中引用路径变量（或用 @RequestBody 和 @RequestHeader 批注的变量），使用其名称并在开头加上 # 符号。

@PreAuthorize("principal.userId == #taskId")
@GetMapping("/task/{taskId}")
public Task getTask(@PathVariable String taskId) {
    // ...
}

如果您有兴趣检查重新调整的 Task 实例的 id 是否与原则的 id 匹配，则需要使用 @PostAuthorized（这@PreAuthorize不可行，因为需要执行该方法以评估条件，即您需要首先获取对象以决定该用户是否可以访问它）。

并且要引用由 SpEl 中的方法生成的对象，请使用 returnObject（不要在前面加上哈希符号）。

@PostAuthorize("principal.userId == returnObject.taskId")
@GetMapping("/task/{taskId}")
public Task getTask(@PathVariable String taskId) {
    // ...
}