spring security acl管理权限

Question

我试图用spring security ACL强制执行一个新的应用程序，经过一些阅读后，我对每个ACE的权限都有问题。我希望，如果主体对域对象实例具有管理权限(16)，则能够访问具有以下注释的方法：

@Override   
@PostFilter("hasPermission(filterObject, 'READ')")
public List<Project> findAllProjects() {
    TypedQuery<Project> tq = em.createNamedQuery("Project:findAll", Project.class);
    List<Project> projects = tq.getResultList();
    return projects;
}

但是

    @PostFilter("hasPermission(filterObject, 'ADMINISTRATION') OR hasPermissions(filterObject,'READ')")

它似乎起作用了。
所以，我的问题是：这些权限不是分层的吗？
我的意思是，为什么我必须对一个具有读取权限的方法显式指定admin权限？admin不是比read“大”吗？
我在想，如果我授予用户admin权限，该用户将能够访问比admin“低”的操作(C、R、U、D)保护的所有方法/对象。

Answer 1

简短的回答：不，权限不是分层的，开箱即用。

如果希望它们是分层的，则需要对PermissionEvaluator或类似内容进行自定义实现。