Spring安全的SpEL：将值从XML传递到基于JavaSpEL配置

Question

我想将xml文件中指定的属性值传递给Java中的Spring表达式（SpEL）。你能告诉我如何做到这一点吗？为了清楚起见，我提供了以下示例。

实例xml文件：

<beans>
    <bean id="user" class="x.y.User">
        <property name="name" value="A"/>
        <property name="userId" value="33"/>

    <bean id="customer" class="x.y.Customer">
        <property name="name" value="B"/>
        <property name="customerId" value="33"/>      
    </bean>   
</beans>

请记住，我有“用户”和“客户”模型类。

我想通过以下方式使用预授权注释和Spring表达式来保护名为“edit”的方法。

@PreAuthorize("(#user.userId == #customer.customerId)")    
public Boolean edit(User user, Customer custmer)  {              
    return true; 
}

问题是，如何将userId和CusterId的值从“example.xml文件传递到上面的表达式来比较这两个值，然后保护“编辑”方法？

注意：我不想使用权限计算器。请告诉我是否可以在不考虑许可评估者的情况下执行此操作。我们将非常感谢您的支持与合作！。

Answer 1

为什么将用户和客户声明为Springbean？

Answer 2

@罗布，这不管用如果userBean的userId和customerBean的customerId相等，则允许使用edit方法。根据您的建议，应按以下方式书写：

@PreAuthorize("@userBean.userId == @customerBean.customerId")    
public Boolean edit(User user, Customer custmer)  {              
    return true; 
}   

但它返回以下错误：

java.lang.IllegalArgumentException: Failed to evaluate expression '(@userBean.userId == @customerBean.customerId)'

有什么建议吗？

更新。将@userBean.userId更改为@user.userId，将@CusterBean.customerId更改为@customer.customerId

Answer 3

您可以使用@在SpEL表达式中引用bean引用。

我对您的示例做了一点修改，以使SpEL表达式的哪一部分引用bean，哪一部分引用方法参数更加明显。给定以下配置：

<beans>
    <bean id="userBean" class="x.y.User">
        <property name="name" value="A"/>
        <property name="userId" value="33"/>

    <bean id="customerBean" class="x.y.Customer">
        <property name="name" value="B"/>
        <property name="customerId" value="33"/>      
    </bean>   
</beans>

仅当User参数的userId为33（这是userBeansuserId属性的值）时，才允许使用此方法。

@PreAuthorize("#user.userId == @userBean.userId")    
public Boolean edit(User user, Customer custmer)  {              
    return true; 
}

类似地，您可以使用以下内容引用id为customerBean（在我的示例XML中定义）的客户：

@PreAuthorize("#custmer.userId == @customerBean.userId")    
public Boolean edit(User user, Customer custmer)  {              
    return true; 
}

如果希望它对当前的XML配置执行相同的操作，可以使用以下命令。这里的要点是@后面的值应该与bean的名称匹配。

@PreAuthorize("#user.userId == @user.userId")    
public Boolean edit(User user, Customer custmer)  {              
    return true; 
}