Spring Security 3.2.7HttpServletRequest.ISUserInRole（String）不自动添加“role_”前缀

Question

我正在学习Spring Security并使用Spring Security 3.2.7，对servlet集成特性有疑问

HttpServletRequest.isUserInRole（String）将确定SecurityContextHolder.getContext().getAuthentication().getAuthorities（）是否包含角色传递到isUserInRole（String）的GrantedAuthority。

通常，用户不应该将“role_”前缀传入此方法，因为它是自动添加的。例如，如果要确定当前用户是否具有权限“role_admin”，可以使用以下命令：

boolean isAdmin=httpServletRequest.isUserInRole（“admin”）；

这可能有助于确定是否应该显示某些UI组件。例如，您可能仅在当前用户是管理员的情况下才显示管理员链接。

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="jimi" password="jimispassword" authorities="ROLE_USER, ROLE_ADMIN" />
            <user name="bob" password="bobspassword" authorities="ROLE_USER" />
        </user-service>
    </authentication-provider>
</authentication-manager>

Answer 1

我已经找到了解决办法。通过比较Spring Security 3.2.7和4.0.1之间org.springframework.Security.web.servletapi.securityContextHolderAwareRequestWrapper类的源代码，我发现在4.0.1中，rolePrefix属性的初始化值为“role_”，而在3.2.7中不是这样。

Spring安全3.2.7

私有最终字符串RolePrefix；

在从Spring Security 3.x迁移到4.x（XML配置）的示例中，我创建了一个BeanPostProcessor来将“role_”设置为SecurityContexTholderAwareRequestFilter的rolePrefix属性。

public class DefaultRolesPrefixPostProcessor implements BeanPostProcessor, PriorityOrdered {

    ...

    public Object postProcessBeforeInitialization(Object bean, String beanName) throws BeansException {

        if (bean instanceof SecurityContextHolderAwareRequestFilter) {
            SecurityContextHolderAwareRequestFilter filter = (SecurityContextHolderAwareRequestFilter) bean;
            filter.setRolePrefix("ROLE_");
        }
        return bean;
    }
}

上面的解决方案适用于我的情况，但我不确定这是否是正确的方法。