来自请求参数的JWT Spring Security用户授权

Question

我正在使用JWT和spring security来处理RESTAPIendpoint的授权。在以下示例中，endpoint提供有关用户的信息。假设我只希望管理员用户能够获得所有用户的详细信息，任何其他用户都应该只获得其帐户详细信息。有谁能想出一种更具声明性的方法来使用注释或AOP实现与以下代码等效的代码吗。

@RequestMapping(value = "user/{userId}", method = RequestMethod.GET)
@PreAuthorize("hasAnyRole('USER', 'ADMIN')")
public UserDetailsDto getUserDetails(
        @AuthenticationPrincipal JwtUser user, 
        @PathVariable String userId) {
    if (!user.getId().equals(userId) && user.getRole != Role.ADMIN)
        throw new BadCredentialsException("Jwt token id and requested ids do not match");
    //handle the request
}

Answer 1

您可以将此方法上运行的Aspect定义为切入点引用。

>

在项目中包括aop。（包括与apring aop相关的JAR，在spring boot中包括spring boot starter aop。）

在应用程序配置中启用AOP（使用@enableSpectJautoproxy注释注释配置类）

定义您的方面并在建议之前配置以在那里执行您的逻辑。如：

@Aspect
@Component
public class Test {

    @Before("execution(* com.package.name.*.getUser(..)) && args(user,dto)")
    public void getAllAdvice(JwtUser user, GetUserRequestDto dto){
        System.out.println("Service method getter called");
        if (!user.getId().equals(dto.getUserId()))
            throw new BadCredentialsException("Jwt token id and requested ids do not match");
        //handle the request
    }
}

现在，您的决策应该是aspect的一部分，您的业务逻辑进入控制器。

希望这有帮助！！