Spring靴Spring安全角

Question

客户端需要LDAP和本地JDBC身份验证机制。

它们需要一种对两组用户都通用的授权机制。

应该根据用户的角色限制用户进入某些页面。以及需要应用于每个用户的单独权限（创建、更新、删除）集

那么，我如何实现按页授权，这将由管理员决定谁（哪个角色）可以访问哪个页面？

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/", "/home").permitAll().antMatchers("/admin").hasRole("ADMIN")
                .anyRequest().authenticated().and().formLogin().loginPage("/login").permitAll().and().logout()
                .permitAll();
        http.exceptionHandling().accessDeniedPage("/403");
    }

是否应该在配置中指定每个角色页组合？是否有任何方法可以动态地改变页面和角色，因为角色可能会在以后添加。

Answer 1

您可以使用spring mvc和安全注释

@Controller
public class MainController extends BaseController  {

    @Secured("ROLE_ADMIN")
    @RequestMapping("/")
    String home(Model model) {
        return "home";
    }

}

主页将是/resources/templates/home.ftl或jsp。如果用户不是管理员，那么它将重定向到错误页面。

@EnableAutoConfiguration
@ComponentScan
@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true)
public class Application {

   public static void main(String[] args) throws Exception {
       SpringApplication.run(Application.class, args);
   }