如何实现自定义Spring SecurityACL？

Question

我正在使用Spring开发一个应用程序。在Access Control Access一节中，我想使用Spring Security Acl（我是Acl的新手）。我想在我的应用程序中实现ACL基于两点：

1. 应用程序应该具有以下五种权限:读取、创建、修改、删除和管理员。
2. 权限是分层的，当用户具有创建权限时，它应该能够读取，或者当用户具有修改权限时，它应该能够读取、创建和修改等。

更新:
我的应用程序是基于Spring MVC RESTful的。当用户想要修改自己的信息时，他用Ajax发送一些json数据。json数据的一个示例如下：

{
  "id": 1,//user Id
  "name": "my name",
  "password": "my password",
  "email": "[e-mail]",
   ...
}

现在，恶意用户可以登录到自己的帐户。此用户可以像所有其他用户一样修改其数据。在他发送数据之前，更改他的id，并修改另一个帐户用户信息。我想用ACL来阻止这种颠覆性的工作。并且用户可以获得一些访问其他用户的权限，其他人可以修改他的信息。

Answer 1

您可以使用spring Security实现一个简单的解决方案。其思想是创建一个实现org.springframework.security.access.PermissionEvaluator的类，并重写方法HasPermission。看下一个例子：

@Component("permissionEvaluator")
public class PermissionEvaluator implements org.springframework.security.access.PermissionEvaluator {

    /**
     * @param authentication     represents the user in question. Should not be null.
     * @param targetDomainObject the domain object for which permissions should be
     *                           checked. May be null in which case implementations should return false, as the null
     *                           condition can be checked explicitly in the expression.
     * @param permission         a representation of the permission object as supplied by the
     *                           expression system. Not null.
     * @return true if the permission is granted, false otherwise
     */
    @Override
    public boolean hasPermission(Authentication authentication, Object targetDomainObject, Object permission) {
        if (authentication != null && permission instanceof String) {
            User loggedUser = (User) authentication.getPrincipal();
            String permissionToCheck = (String) permission;
            // in this part of the code you need to check if the loggedUser has the "permission" over the
            // targetDomainObject. In this implementation the "permission" is a string, for example "read", or "update"
            // The targetDomainObject is an actual object, for example a object of UserProfile class (a class that
            // has the profile information for a User)

            // You can implement the permission to check over the targetDomainObject in the way that suits you best
            // A naive approach:
            if (targetDomainObject.getClass().getSimpleName().compareTo("UserProfile") == 0) {
                if ((UserProfile) targetDomainObject.getId() == loggedUser.getId())
                    return true;
            }
            // A more robust approach: you can have a table in your database holding permissions to each user over
            // certain targetDomainObjects
            List<Permission> userPermissions = permissionRepository.findByUserAndObject(loggedUser,
                targetDomainObject.getClass().getSimpleName());
            // now check if in userPermissions list we have the "permission" permission.

            // ETC...
        }
        //access denied
        return false;
    }

}

现在，通过这个实现，您可以在例如服务层中使用@PreAuthorize注释，如下所示：

@PreAuthorize("hasPermission(#profile, 'update')")
public void updateUserProfileInASecureWay(UserProfile profile) {
    //code to update user profile
}

@PreAuthorize注释中的“HasPermission”从updateUserProfileInASecureWay方法的params接收targetDomainObject#概要文件，我们还传递所需的权限（在本例中是“update”）。

该解决方案通过实现一个“小型”ACL来避免ACL的所有复杂性。也许对你有用。