Thymeleaf安全方言-hasPermission（）

Question

我们正在使用Spring Security和角色、特权以及Spring ACL。前端由Thymeleaf（版本3）渲染。应用程序用户既可以具有不同权限的角色，也可以直接访问ACL设置的某些域对象。

具体示例

我有一个表，显示由ACL保护域对象。有一些行动，我想限制由SEC：授权检查，是否允许当前的用户执行这个行动。

 <th:block th:each="securedObject: ${securedObjects}">
        <button sec:authorize="hasAuthority('DELETE') OR hasPermission(#securedObject,'ADMINISTRATION')">Delete object</button>
 </th:block>

但是，由于某种原因，hasPermission评估在这里不起作用。我无法访问本地securedObject。ACL安全性将其视为null并拒绝访问。我尝试了不同的语法（hasPermission(${securedObject},'administration')等）,但没有成功。

有趣的是，它可以正确地使用sec：authorize-acl：

 <button sec:authorize-acl="${securedObject} :: 'ADMINISTRATION'">
 </button>

但是，以这种方式编写时，不可能将其与实体级别的权限（hasRole（））结合起来，因此：

 <button sec:authorize-acl="${securedObject} :: 'ADMINISTRATION'" sec:authorize="hasRole('DELETE')">
 </button>

在这两者之间创建Logical and，因此用户必须同时拥有特定角色和ACL授予的访问权限。

Answer 1

我终于能让它运转起来了。可以使用以下表达式访问迭代中的域对象：

 <div sec:authorize="hasPermission(#vars.securedObject,'ADMINISTRATION')">Delete</div>

但是，权限评估程序仍然拒绝对该对象的访问。还需要以以下方式在Spring Security config类中配置它：

  @Configuration
  public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

        @Autowired
        private PermissionEvaluator permissionEvaluator;

        @Override
        public void configure(WebSecurity web) throws Exception {
           DefaultWebSecurityExpressionHandler handler = new 
           DefaultWebSecurityExpressionHandler();
           handler.setPermissionEvaluator(permissionEv);
           web.expressionHandler(handler);
         }

         @Override
         protected void configure(HttpSecurity http) throws Exception {
         ....
}