Spring Security-进一步限制方法

Question

我有一个应用程序正在使用Spring Security性授权OAuth2令牌。使用@PreAuthorize标记，我可以轻松确保用户在允许他们访问方法之前拥有权限：

@PreAuthorize("#oauth2.hasScope('account.read')")
public void getAccount(int accountId);
{
    //return account
}

这对于限制没有帐户的用户非常有效。访问此方法的读取权限。

唯一的问题是，现在任何具有此权限的用户都可以访问任何帐户。我想限制用户只访问自己的帐户。我相信这是一种常见的情况。其他应用程序如何处理此问题？

Answer 1

所以，这里的问题——系统如何知道帐户是否属于用户？答案是您可能正在存储用户

@PreAuthorize("#oauth2.hasScope('account.read')")
public Account getAccount(int accountId) {   
    // get account from db
    Account account = repository.findById(accountId);
    // you will need a little helper to get your User from 
    //Spring SecurityContextHolder or whatever there for oauth2
    User user = securityManager.getCurrentUser(); 
    if (account.belongs(user)) {
        return account;
    } else {
        throw new UnathorizedException("User is not authorized to view account");
    }
}

Upd。可能的改进之一可能是首先获取用户，从中获取id并创建存储库。findByIdAndUserId（accountId，userId）或类似的东西。（甚至是repositoryFindByIdAndUser（accountId，user））