Spring security具有任意角色和不同权限的不同流

Question

在我的Spring Boot应用程序中，我有一个REST控制器，其方法如下：

@PreAuthorize("hasAnyRole('PERMISSION_UPDATE_OWN_COMMENT', 'PERMISSION_UPDATE_ANY_COMMENT')")
@RequestMapping(value = "/update", method = RequestMethod.POST)
public CommentResponse updateComment(@AuthenticationPrincipal User user, @Valid @RequestBody UpdateCommentRequest commentRequest) {
    Comment comment = commentService.updateComment(commentRequest.getCommentId(), commentRequest.getTitle(), commentRequest.getContent(), user);
    return new CommentResponse(comment);
}

只有具有权限\u UPDATE\u OWN\u COMMENT或权限\u UPDATE\u ANY\u COMMENT的用户才能使用此endpoint。

在这个方法中，我需要创建两个不同的流-一个用于具有PERMISSION_UPDATE_OWN_COMMENT的用户，另一个用于具有PERMISSION_UPDATE_ANY_COMMENT权限的用户。

所以我的问题是——为了在单个方法中实现这些不同的逻辑流，Spring Security性的最佳实践是什么？

我应该在updateComment方法中验证用户具有一个或另一个权限并基于此条件实现我的逻辑吗？

Answer 1

最简单的方法是在控制器内部做updateComment函数内部的逻辑。因为，你可以很容易地从action参数中获取SecurityContextHolderAware Request estWrapper的实例来查找角色。

但最好的做法是将您的逻辑放入服务中。这将使您更容易在其他地方重用逻辑，如RESTFul API。

因此，您可以使用下面的代码或类似的代码来检查服务中的角色。

Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
boolean authorized = authorities.contains(new SimpleGrantedAuthority("PERMISSION_UPDATE_OWN_COMMENT"));

（编辑了更多信息）

完整的函数，可用于检查角色

protected boolean roleExist(String role) {
    SecurityContext context = SecurityContextHolder.getContext();
    Authentication authentication = context.getAuthentication();
    for (GrantedAuthority auth : authentication.getAuthorities()) {
        if (role.equals(auth.getAuthority()))
            return true;
    }
    return false;
}