Spring Security ACL自定义对主题的默认访问

Question

使用spring ACL，我可以为Subject上的某些操作配置权限。我的应用程序很少需要自定义对主题的访问权限。因此，我不想为默认依赖项填充ACL，但如果ACL为空，则需要特殊说明。

例如，我们有

branch1
|-doc1
|-doc2
|-doc3
branch2
|-doc1
|-doc2
|-doc3

user1 belongs to branch1
user2 belongs to branch2

Answer 1

我先做个推荐：

我的应用程序很少需要自定义对主题的访问权限。因此，我不想为默认依赖项填充ACL，但如果ACL为空，则需要特殊说明。

不确定这是一个好主意（不是说你一定不能，只是提醒你注意）。这需要特殊的逻辑（这些人是以这种方式授权的，而那些人是以那种方式授权的），这增加了应用程序的复杂性。我将解释一些您可能不知道的关于Spring SecurityACL的内容，然后提供另一种方法。

您可以使用父ACL的概念来解决所要求的问题。从文档中：

ACL_OBJECT_IDENTITY存储系统中每个唯一域对象实例的信息。列包括[...]parent,ACL_SID表的外键,表示域对象实例的所有者,以及我们是否允许ACL条目从任何父ACL继承。每个存储ACL权限的域对象实例都有一行。

这样，Branch2可以有一个acl，Branch2.doc3可以有一个从Branch2继承的acl。

使用这种方法的优点是，随着复杂性的增长，它更容易伸缩。您仍然采用单一的方式，并且可以使用任意复杂的逻辑来定义ACL。