Spring Security授权

Question

GET /resources/{resourceId}

上面的API为用户提供了关于给定资源的所有信息。

目前，我使用WebSecurityConfigurerAdapter进行身份验证。为了添加授权，我已经观察到我可以将授予的权限设置为身份验证对象的一部分。这样，我可以使用@preauthorize（“hasRole('role_user')”）这样的东西来进行授权。

然而，对于所提到的API，由于以下原因，我不确定所提到的授权方法是否适合。

null

如果指定的方法不是解决问题的最佳方法，我将非常感谢任何关于最佳方法的输入/反馈。我想避免在控制器中进行此检查。我试图通过Spring Security来实现这一点，类似于@preauthorize的工作方式。我认为访问resourceId是一项授权要求，如果用户没有访问该资源的权限，我们甚至不应该进入API控制器。

Answer 1

通过绑定到资源id的角色分发权限似乎是一个潜在的维护噩梦。如果您不想允许访问控制器，那么access可能是最好的使用方法。

上面的链接提供了基于Java和xml的配置的示例，并展示了如何在进入控制器之前获得对路径的访问权。

您将提供一个可以引用的方法，如：

布尔checkResourceAccess（Principal Principal,int resourceId)

在配置中，可以引用url参数，如#resourceId将其映射到{resourceId}。

Java配置示例:

http.authorizeRequests()
    .antMatchers("/resources/{resourceId}")
    .access("@yourBean.checkResourceAccess(principal,#resourceId)")...