Spring Data JPA和sping-Security：数据库级别的过滤器（尤其是分页）

Question

我正在尝试使用注解和Spring-安全为我的开源项目添加方法级别的安全性。我现在面临的问题是findAll方法，尤其是用于分页的方法（例如返回页面）。

使用@PostFilter可以在列表上工作（但我个人认为在应用程序而不是数据库中过滤不是一个好主意），但在分页查询上完全失败。

这是有问题的，因为我有一个包含List的实体

我的想法是为每个查询添加一个谓词，根据当前用户限制返回结果。然而，我有点迷失在a）用户和角色的数据模型应该是什么样子，b）然后如何创建谓词（一旦定义了模型，这可能很容易）。或者querydsl已经提供了基于类型的过滤（对查询类中包含的元素）？




Answer 1

8年后，仍然没有开箱即用的解决方案。因此，我创建了支持将安全条件注入所有JPA存储库操作的库，包括：

• 基本操作（findOne、findAll、保存、<代码>删除
• 具有规范的查找器（findAll（规范，…））
• querydsl finders（用于Spring WEB和Spring Data REST）
• 特定于用户的查找器（findByValue）

https://github.com/vlsergey/spring-data-entity-security

Answer 2

匿名用户

目前我想出了以下解决方案。因为我的项目相当简单，这可能不适用于更复杂的项目。

用户可以读取某个类
1. 的所有实体，也可以不读取某个类的实体

因此，任何查询方法都可以用包含< code>hasRole的< code>@PreAuthorize进行注释。

例外是我的项目中的Container实体。它可以包含Compound的任何子类，用户可能无权查看所有子类。它们必须是过滤器。

为此，我创建了User和角色实体Compound与RoleOneToOne关系，该角色是该Compound的“read_Role”用户和角色具有多对多关系。

@Entity
public abstract class Compound {    
    //...
    @OneToOne    
    private Role readRole;
    //...   
}

我的所有存储库都实现了QueryDSLPredicateExec的，这在这里变得非常简单。我们不是在存储库中创建自定义findBy-方法，而是仅在服务层创建它们，并使用repositry.findAll（谓词）和repository.findOne（谓词）。谓词保存实际用户输入的“安全过滤器”。

@PreAuthorize("hasRole('read_Container'")
public T getById(Long id) {        
    Predicate predicate = QCompoundContainer.compoundContainer.id.eq(id);
    predicate = addSecurityFilter(predicate);
    T container = getRepository().findOne(predicate);        
    return container;
}

private Predicate addSecurityFilter(Predicate predicate){        
    String userName = SecurityContextHolder.getContext().getAuthentication().getName();            
    predicate = QCompoundContainer.compoundContainer.compound.readRole
        .users.any().username.eq(userName).and(predicate);        
    return predicate;
}

注意：QCompoundContainer 是 QueryDSL 生成的“元模型”类。

最后，您可能需要将QueryDSL路径从Container初始化为User：

@Entity
public abstract class CompoundContainer<T extends Compound> 
    //...
    @QueryInit("readRole.users") // INITIALIZE QUERY PATH
    @ManyToOne(fetch = FetchType.EAGER, cascade = CascadeType.ALL,
            targetEntity=Compound.class)
    private T compound;
    //...
}

省略最后一步可能会导致 NullPointerException。

进一步提示：CompoundService在保存时自动设置角色：

if (compound.getReadRole() == null) {
    Role role = roleRepository.findByRoleName("read_" + getCompoundClassSimpleName());
    if (role == null) {
        role = new Role("read_" + getCompoundClassSimpleName());
        role = roleRepository.save(role);
    }
    compound.setReadRole(role);
}
compound = getRepository().save(compound)

这个管用。缺点有点明显。同一个< code >角色与同一个< code >复合类实现的每个实例相关联。

Answer 3

目前没有这样的支持，但我们在路线图上有它。您可能想遵循DATACMNS-293以获得一般进展。