使用Spring（Java）的数据模型和REST控制器的多租户权限模型

Question

我正在寻找RESTful web服务的多租户权限模型和后端数据模型的示例。我使用Spring在Java中构建了一个OAUTH AS和RESTful web服务。大部分后端都已完成，但现在我正在构建安全性。我需要的是用户对不同对象拥有不同权限的能力。为了便于论证，假设有一些公司包含帐户。经过身份验证的用户可以拥有以下任何权限：

• 超级用户-对一切的全部权利
• 公司管理权-对一个或多个公司的各种财产和该公司内的帐户的权利。
• 帐户权利-对公司中多个帐户之一的权利。

例如，Alice可以是超级管理员。Bob可以仅拥有ACME-USER1的帐户权限，但拥有INITECH和该公司中所有帐户的公司管理员权限。Bill只是对INITECH-USER2拥有用户权限的最终用户。

最初，这个概念将应用于REST控制器。我的web服务如下所示：

• 发布 /company-

这个概念也将扩展到数据模型。一家公司说将拥有以下属性，并需要以下权限来修改每个属性：

• 名称-

用户模型如下所示：

• 名称-

我创建了由我的OAUTH授予的权限，例如：

• 角色\u超级管理员

由于角色不是静态的，我不相信我能够在Java中使用诸如@Secured或@PreAuthorize之类的注释。我编写了一个方法，该方法将主体、公司和用户作为参数，然后生成所需的角色，并检查用户是否拥有该角色。我不确定这是不是最好的做法，或者是否有一种“Spring-y”的方法来做到这一点。如前所述，我还希望将此应用于我的数据模型。我不希望必须将实体拆分为多个数据传输对象，并使用其自己的REST控制器来评估权限。

我还阅读了http://www.baeldung.com/role-and-privilege-for-spring-security-registration，其中它们具有包含权限的角色。我喜欢这个模型，因为我会创建像CREATE_COMPANY或EDIT_QUOTA这样的粒度权限。然后这些必须应用于特定对象。

任何实现这样的项目示例或关于最佳实践的一般想法都将受到赞赏。

Answer 1

在Spring SpEL中，您可以接收上下文Spring表达式语言（SpEL）中任何bean的引用。Bean引用。

在这种情况下，您可以使用@PreAuthorize注释。例如：

@Component("accessChecker")
public class AccessChecker {
  public boolean hasAccessToCompany(Long companyId) {
    return checkAccessRightsHere(SecurityContextHolder.getContext().getAuthentication(), companyId);
  }
}  

@Controller
public class CompanyController {
   @RequestMapping("/company/{companyId}")
   @PreAuthorize("@accessChecker.hasAccessToCompany(#companyId)")
   public CompanyDto getCompany(@PathVariable("comapanyId") Long companyId) {

   }
}