禁用Hibernate获取动态

Question

我目前已经实现了行级安全性，其中需要安全的表具有所有者、组和Unix风格权限的列。

当前的情况是，每当我们通过hibernate请求一个实体时，我们都会添加一个自定义标准来验证用户是否有权访问数据。在每次创建时也会添加此自定义标准。Alias（）以确保与其他表的联系也得到保护。

问题是我们的模型有多个具有@manyToOne关系的实体，因为这些实体是自动获取的，所以没有办法保护嵌套的实体。

我想要的是一种方法：

>

使其只包含通过创建添加的实体

或

动态控制hibernate获取的内容

这两种方式似乎并不意味着对我们的项目进行大规模的代码重构。

这是可以做到的，还是有其他方法来加强我们的安全？

注：不幸的是，永远不返回嵌套实体是不可能的，因为它是客户端所需要的。此外，我们还尝试使用max_fetch_depth 0，但即使在初始查询中没有请求嵌套的实体，hibernate似乎会进行多个后续查询来完成实体。

Answer 1

我正处于研究阶段，但基本上没有用于我自己的项目，我相信过滤器是你想要的。如果我正确理解了文档，可以在模式中定义一个过滤器，启用它，并在打开会话时以编程方式为其提供参数，在会话期间，Hibernate将假装不存在未通过过滤器的对象。除了保护基于关系的抓取之外，这还将消除对每个查询手动添加安全检查的需要。