Spring Security MVC：相同的@请求映射，不同的@安全

Question

假设我们有一个使用Spring MVC和Spring Security配置的APIendpoint。我们希望能够处理@RequestMapping和@Secured注释对，其中仅有的@Secured注释值因对而异。这样，我们就可以根据相同请求的安全规则返回不同的响应主体。

这可以避免在方法体中直接检查安全规则，从而使代码更易于维护。

有一个不起作用的例子，下面是我们想要做的：

@Controller
@RequestMapping("/api")
public class Controller {

    @Secured ({"ROLE_A"})
    @RequestMapping(value="{uid}", method=RequestMethod.GET)
    @ResponseBody
    public Response getSomething(@PathVariable("uid") String uid) {
        // Returns something for users having ROLE_A
    }

    @Secured ({"ROLE_B"})
    @RequestMapping(value="{uid}", method=RequestMethod.GET)
    @ResponseBody
    public Response getSomethingDifferent(@PathVariable("uid") String uid) {
        // Returns something different for users having ROLE_B
    }
}

我们如何才能做到这一点？如果可以做到这一点：对于一个既有ROLE_A又有ROLE_B的用户，应该如何管理优先级？

Answer 1

我认为您不能在spring-mvc中做到这一点，因为两个路由具有完全相同的@Request estMap（@Secure）没有被spring-mvc的路由引擎考虑在内。最简单的解决方案是这样做：

@Secured ({"ROLE_A", "ROLE_B"})
@RequestMapping(value="{uid}", method=RequestMethod.GET)
@ResponseBody
public Response getSomething(@PathVariable("uid") String uid, Principal p) {
    // Principal p gets injected by spring
    // and you need to cast it to check access roles.
    if (/* p.hasRole("ROLE_A") */) {
        return "responseForA";
    } else if (/* p.hasRole("ROLE_B") */) {
        return "responseForB";
    } else {
        // This is not really needed since @Secured guarantees that you don't get other role.
        return 403;
    }
}

但是，我会更改您的设计，因为每个角色的响应不同，为什么不使用两个不同URL的单独请求映射呢？如果在某个时候，您的用户同时具有角色A和角色B，则您不能让用户选择要获得的响应（例如，想想LinkedIn的公共和私人配置文件）

Answer 2

假设您将Spring 3.1（或更高版本）与RequestMappingHandlerMapping（和RequestMappingHandlerAdapter）一起使用，您可以扩展请求映射机制。您可以通过创建自己的RequestCondition接口实现来实现这一点，并扩展RequestMappingHandlerMapping，以基于方法上的@安全注释来构建它。

您需要重写RequestMappingHandlerMapping上的“getCustomMethodCondition”方法，并基于该方法和@Secured注释的存在，构建RequestCondition的自定义实现。然后，在将传入请求与方法匹配时，会考虑所有这些信息。

相关答案（虽然不特定于@安全注释，但机制是相同的）也可以在这里或这里找到