Spring Security 4 ACL为用户和角色分配权限

Question

我不是Spring4的新手，但我是SpringSecurity4ACL的新手。我刚刚在我的MVC Web应用程序上实现了Spring Security4，这些应用程序都是后端Web服务。这里贴出了我所做的事情的链接：

http://stackoverflow.com/questions/33787085/spring-security-4-with-third-party-authentication-token

这为我的URL增加了安全性，只有具有特定角色的用户才能请求URL。这太棒了！我们以SiteMinder为例，不是传回一个用户名，而是在请求头中传回一个令牌。我们调用OpenAM，传入这个令牌，然后返回一个用户名。我们使用Hibernate身份验证从我们的数据库中获取用户信息，我们获取该用户的角色，从而为我们生成UserDetails，这样，我们就为这个经过身份验证的用户提供了一个SecurityContext。

但现在我在同一个MVC Web应用程序中面临一个新的挑战，那就是我想为我的对象添加ACL安全性。我已经做了大量的研究，还有更多的研究，我有几个问题。

我似乎可以对ACL表应用安全性（创建和/或检索和/或删除和/或更新和/或等）。我想知道是否可以这样应用安全性：

userA    SomeCarObject     has permissions (create,read,update)
userB    SomeCarObject     has permissions (read)
roleA    SomeCarObject     has permissions (update)
roleB    SomeCarObject     has permissions (delete)

那么，用户和角色是否都可以对对象拥有不同的权限呢？

我们有三种不同的对象类型:Cars、Animals和Flowers,我们希望使用ACL为每个对象类型分配用户和角色的不同权限。

因此，我正在研究如何在ACL中定义这些权限。

随着我得到更多的信息，我一定会在这里发布。谢谢！

Answer 1

那么，用户和角色是否都可以对对象拥有不同的权限呢？

是的，在Spring Security中有一个东西叫做SID-Security identity，它可以是一个权威（角色）或一个主体（用户）。

假设您使用的数据库模式与参考文档中的数据库模式类似,则acl_sid表应如下所示：

 +----+-----------+-------+
 | id | principal | sid   |
 +----+-----------+-------+
 |  1 | true      | userA |
 |  2 | true      | userB |
 |  3 | false     | roleB |
 |  4 | false     | roleB |
 +----+-----------+-------+

这就引出了一个问题...如果用户更改了一个角色，那么我们将不得不重新评估他们的权限，并且我们可能不得不从ACL表中添加或删除记录？

这不应该是必要的，但要注意缓存。如果在ACL表中添加/删除记录，请记住清除aclcache（如果您使用aclcache）。

我还在研究权限是如何工作的。