在Spring SecurityACL中使用AOP

Question

我对Spring Security framework非常陌生，尤其是ACL。经过几个小时的阅读，我想我已经掌握了开始保护我的应用程序所需要做的大部分事情。

然而，有些事情让我感到困扰：虽然很容易找到关于如何读取ACL权限的用法描述（例如通过@preauthorize)，但当您想要创建和持久化这些权限时，它开始变得混乱。

那我该怎么办呢？专业人士做得怎么样？我是否应该尝试在创建/删除ACL条目的自定义注释上定义切入点？还是我应该用ACL问题“污染”我的代码？

Answer 1

好吧，经过一周的工作，我现在更明白了，这些东西是如何工作的。

首先，应该尝试使用简单、幼稚的方式使用ACL，直接在每个服务层方法中使用AclService。构建一个抽象很有帮助（基本上是@Service bean中的grantAccess(username，object，permission，...)方法）。

一旦通过ACL写和@preauthorize/@postauthorize/@安全el测试保护了所有内容，那么您就可以开始考虑AOP来清除代码中的所有安全问题。您可以使用ACL编写服务方法列表，并向它们添加建议，以便有一个处理所有安全性的中心位置。

Spring Security ACL非常容易设置和理解，即使是在一个拥有现有用户的现有项目上也是如此（您必须构建一个迁移脚本）。