保护spring-data-rest的数据

Question

我正在使用Spring Data Rest向我们的React前端应用程序公开JPA存储库。我还使用Spring Security性和JWT来保护REST API。

@Entity
@Table(name = "customer")
public class Customer {
  @Id
  @GeneratedValue(strategy = GenerationType.IDENTITY)
  private long id;
  ....
}

public interface CustomerRepository extends PagingAndSortingRepository<Customer, Long> {
}

我的问题：

• 如何预防这样的异常用法？
• 使用Spring Data REST的最佳实践是什么？

Answer 1

您的应用程序通过使用Spring Data REST公开了一个REST API。其中一个实体是Customer实体，它通过CustomerRepository公开。在通过调用/api/customers查询所有实体的列表时，只需要列出那些customer实体，查询主体有权查看这些实体。

这可以通过使用@prefilter或@postfilter注释有问题的方法来完成，如Spring Security参考文档中所述。您需要指定某种条件。

一个例子：

@PostFilter(hasPermission(filterObject, 'read'))
public List<Customer> findAll();

注意@postfilter将遍历返回的值，这可能需要一些时间，具体取决于返回列表的大小。