带有@preauthorize和@@controlleradvice的自定义

Question

我们正在使用spring和Spring-Security-3.2。最近，我们向RESTAPI添加了注释@preauthorize（以前是基于URL的）。

     @PreAuthorize("hasPermission('salesorder','ViewSalesOrder')")
  @RequestMapping(value = "/restapi/salesorders/", method = RequestMethod.GET)
  public ModelAndView getSalesOrders(){}

我们已经有了用-@ControllerAdvice和自定义的PermissionEvaluator注释的全局异常处理程序，除了错误消息之外，其他一切都正常工作。

是否可能抛出一个包含权限名称的异常，所以最终的错误消息应该是“Access Is denied,you need ViewSalesOrder permission”（这里的权限名称应该来自@preauthorize注释）？

请注意，我们有100个这样的restAPI，所以通用解决方案将高度赞赏。

Answer 1

由于PermissionEvaluator接口不允许您将丢失的权限与计算结果一起传递，因此没有任何理想的方法可以实现您所期望的结果。
此外，AccessDecisionManager会根据AccessDecisionVoter实例的投票来决定最终授权，其中一个实例是PreInvocationAuthorizationAdviceVoter，它会根据@preauthorize值的计算投票。长话短说，当您的自定义正如您所看到的，无法在此流中传播失败的原因。

另一方面，您可以尝试一些变通方法来实现您想要的目标。一种方法是，当权限检查失败时，在自定义的PermissionEvaluator中引发异常。可以使用此异常将丢失的权限传播到全局异常处理程序。在那里，您可以将缺少的权限作为参数传递给您的消息描述符。注意，这将停止AccessDecisionManager的执行过程，这意味着连续的投票者将不会被执行（默认值是RoleVoter和AuthenticatedVoter）。如果选择沿着此路径前进，则应小心。另一种更安全但更笨拙的方法可以是实现自定义AccessDeniedHandler并在使用403响应之前自定义错误消息。AccessDeniedHandler提供当前的HttpServletRequest，可用于检索请求URI。但是，在这种情况下，坏消息是，您需要一个URI到权限的映射，以便定位丢失的权限。