Spring：实体的角色、权限和权限

Question

下午好.如何在不使用不同的OAUTH2服务的情况下，为一个应用程序中的特定实体（类似于RBAC/ABAC）的特定控制器配置用户的权限和角色？

还有一个名为Project的实体。用户可能是许多项目的成员。有一些项目用户角色:PROJECT_ADMIN、PROJECT_EDITO、PROJECT_USER。每个项目角色都可以拥有自己的权限（权限），如向项目添加用户、编辑项目等。所有角色配置都存储在'PROJECT_ROLES'和'PROJECT_PERMISSIONS'表中。

据我所知，它可以通过预授权注释来实现，但是如何将当前全局用户匹配到项目角色？

@PreAuthorize("@projectService.hasPermission('create_project', #projectEditRequest.id)") // How to pass GlobalUserID?
@PostMapping
public ProjectDto create(@RequestBody @Validated ProjectEditRequest projectEditRequest) {
   ...
   ...
}

也许有这样的案例实施的例子？

Answer 1

首先，OAuth2根本不是实现这一点的正确方法，因为您讨论的是细粒度的、基于实体的授权。您可以使用Spring ACL这样的库实现类似的内容。然后，您的授权模型通常与您的安全实体驻留在同一数据库中，并且Spring Security将通过ACL（访问控制列表）和当前Spring Security（用户）上下文授予请求的CRUD操作。

在OAuth2中，您基本上只需要使用subject/user作为现有ACL条目的所有者。