如何允许用户在Spring Boot/Spring Security中仅访问自己的数据？

Question

我有一些rest api，如下所示：

/users/{user_id}
/users/{user_id}/orders
/users/{user_id}/orders/{order_id}

我必须如何保护他们？每个用户只能看到她/他的数据，但管理员可以看到所有数据。

怎样

在会话中的每个方法用户ID等于传递给api的user_id参数之前，我是否检查过？有更好的方法吗？

附言：我使用JWT的Spring安全。

Answer 1

您应该首先选择您的安全策略，您需要的名称“行过滤”，3A（身份验证、授权、审计）概念的授权概念之一。

如果您想实施全面的解决方案，请参阅：

https://docs.spring.io/spring-security/site/docs/3.0.x/reference/domain-acls.html

Spring ACL完全涵盖了“行过滤”、“黑白名单”、“角色库授权”、“ACL继承”、“角色投票人”等概念。。。。

否则，您应该根据想要保护的业务案例保存所有者，并在服务层中过滤它们。

Answer 2

您还可以在服务界面上使用@PreAuthorize。如果您有一个自定义的用户详细信息对象，那么您可以轻松完成。在我的一个项目中，我是这样做的：

@PreAuthorize(value = "hasAuthority('ADMIN')"
        + "or authentication.principal.equals(#post.member) ")
void deletePost(Post post);

顺便说一句，这是在服务接口中。您必须确保添加正确的注释才能使预授权生效。

Answer 3

在任何@Controller、@RestController带注释的bean中，您可以直接使用主体作为方法参数。

    @RequestMapping("/users/{user_id}")
    public String getUserInfo(@PathVariable("user_id") Long userId, Principal principal){
        // test if userId is current principal or principal is an ADMIN
        ....
    }

如果不想在控制器中进行安全检查，可以使用Spring EL表达式。您可能已经使用了一些内置表达式，例如hasRole（[角色]）。

你可以写自己的表达。

1. 创建一个bean

    @Component("userSecurity")
    public class UserSecurity {
         public boolean hasUserId(Authentication authentication, Long userId) {
            // do your check(s) here
        }
    }

    http
     .authorizeRequests()
     .antMatchers("/user/{userId}/**")
          .access("@userSecurity.hasUserId(authentication,#userId)")
        ...

好的是，您还可以组合以下表达式：

    hasRole('admin') or @userSecurity.hasUserId(authentication,#userId)