角色的springspel

Question

我有一个自定义需求，我想根据特定角色决定是否可以访问API。我使用的是Spring框架。我想支持这样的观点：

1. (R1 || R2) && (R3 || R4)  
2. (R1) || (R2 && R3) 

其中R表示一个角色<代码>|和

我用SPEL找到了类似的东西，但不是R，它可以是任何字符串，如客户，员工等，他们使用布尔表达式值，如true或6==6等




Answer 1

我用下面的方法解决了上面的问题：

1. 我使用Spring提供的SpEL
2. SpEL支持属性替换

替换代码：

Inventor tesla = new Inventor("Nikola Tesla");
ExpressionParser parser = new SpelExpressionParser();
Expression exp = parser.parseExpression("name == Nikola Tesla");
String name = (String) exp.getValue(tesla);

此处，名称属性将被尼古拉·特斯拉（Nikola Tesla）取代。当每次计算表达式时，name属性具有不同的值时，应使用此选项。如果<>代码>名称< /代码>属性每次都相同，请考虑使用<代码>评估上下文> /代码>。

现在讨论布尔表达式，您必须强制替换属性的值，因为在上面的示例中，属性name可以将null作为默认值，但是字符串角色不能在不替换的情况下将true或false作为默认值
假设SpEL包含一些我不知道的角色，我将无法用true和false替换它们。为了解决这个问题，我使用了类似于@PreAuthorize的方法，它的方法是hasRole（）。

参考代码：

String roles =  "(hasRole('admin') or hasRole('superAdmin')) and hasRole('modifier')"
Expression roleExpression = parser.parseExpression(roles);
StandardEvaluationContext roleContext = new StandardEvaluationContext(new SpelHelper());
roleContext.addPropertyAccessor(new MapAccessor()); // this line might be useless
Boolean hasCorrectRole = roleExpression.getValue(roleContext, Boolean.class);


class SpelHelper {
     public boolean hasRole(String role) {
          // some logic like current user roles have the role passed as argument
          return true;
     }
}

完整文档位于：https://docs.spring.io/spring/docs/4.0.x/spring-framework-reference/html/expressions.html

此外，参考Java中的布尔表达式评估
这个答案建议使用JEXL，这个答案会给你一个公平的想法，如何替换属性。

Answer 2

可以使用基于角色的SpEL方法安全性。

@PreAuthorize("hasRole('ROLE_A') or hasRole('ROLE_B')")
public void yourMethod() {
    // ...
}