使用自定义Spring Security注释

Question

我正在尝试使用Spring安全注释，如@PreAuthorize和@安全，但我希望评估用户不是在一个角色上，而是他们是否拥有对特定实体的权限，在这种情况下是一家公司。在我的控制器中，我收到一个超文本传输协议请求，其中包含一个firmId作为参数，我想确保这个用户被允许进入这家公司。是否可以使用当前的Spring安全注释？。我正在寻找一个优雅的解决方案，我一直在寻找自定义约束验证器作为jsr303规范的一部分。方法标头如下。

public ModelAndView getSessionsJson(HttpServletRequest request,
  HttpServletResponse response) throws ServletRequestBindingException {}

Answer 1

我想你可以这样做：

public ModelAndView getSessionsJson(HttpServletRequest request, HttpServletResponse response) throws ServletRequestBindingException { 
    Integer firmId = getFirmId(request);
    Firm firm = getFirmById(firmId);
    doSomeBusinessLogic(firm);
    .....
}

@PreAuthorize("hasPermission(#firm, 'admin')")
public void doSomeBusinessLogic(Firm firm) {
     ....
}

....

与ACL模块结合使用前注释和后注释。当然，在您需要设置ACL DB模式并为每个公司对象准备ACL权限之前。