Spring Security OAuth类型安全SpEL builder

Question

我们正在用spring security spring security oauth实现一个OAuth2资源服务器。

用例非常简单：

• A.某些资源仅适用于授权客户

对于Java配置，为了加强安全约束，我们使用了很多像这样的SpEL：

@Override
public void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()

             // A. Only authorized clients
             .antMatchers("/type-a").html" target="_blank">access("#oauth2.hasScope('READ_SOMETHING')")

             // B. Both authorized clients and users
             .antMatchers("/type-b").access("#oauth2.hasScope('READ_SOMETHING_ELSE') or (!#oauth2.isOAuth() and hasRole('ROLE_USER'))")

             // ... (different flavors of B.) ...

             // C. Everything else is for authenticated users
            .anyRequest().hasRole("USER")
            .and().httpBasic();
}

虽然这很好用，但我不喜欢：

1. SpEL标记本身可能会变得棘手，直到运行时才能进行验证

一般来说，对于Spring Security，由安全配置基类（WebSecurityConfigrerAdapter，ResourceServerConfigrerAdapter）提供的HttpSecurity生成器非常适合简单的约束，但是复合/复杂的约束最终会出现在SpEL中。

使用spring-security-oauth2，除了SpEL，我不知道还有什么其他方法。

问题：是否有任何现有的实用程序类为OAuth2 SpEL提供某种类型安全的fluent builder？

类似的东西：

TypicalPerfectlyNamedSpringFrameworkDreamClass.builder()
    .startExpressionGroup()
        .hasOAuth2Scope("MY-SCOPE")
    .endExpressionGroup()
    .or()
    .startExpressionGroup()
        .isNotOAuth2Request()
        .and()
        .hasRole("ROLE_USER")
    .endExpressionGroup()
    .toString();

Answer 1

简短的回答：“不，没有这种功利”。