根据用户角色和权限显示不同的网页和元素

Question

我有一个Spring MVC Web应用程序，其中Thymeleaf作为模板引擎，Spring Security用于管理登录阶段。

我的用户可以使用不同的角色（ROLE\u ADMIN、ROLE\u USER和ROLE\u GUEST）登录。此外，角色为Role\u user的用户是一个或多个工作组（一组用户）的一部分，在工作组中，他/她可以使用不同的权限进行操作：WG\u ADMIN、WG\u user、WG\u GUEST。每个权限都允许WG用户对WG资源执行一些操作。

现在，我有了一组视图，并希望根据用户的角色和WG权限来管理对页面和页面元素的授权。

用Spring MVC和Thymeleaf完成事情的标准方法是什么？

非常感谢。

Answer 1

您可以使用以下选项：

<div sec:authorize="hasRole('ROLE_ADMIN')">
    Hi, <span sec:authentication="principal.name"></span> 
</div>

Answer 2

您将需要@PreAuthorize和@Secured的组合。我会告诉你有什么不同。控制器方法应使用@PreAuthorize进行注释。这样，如果用户没有角色，则会根据您的安全设置重定向用户。

使用@Secured，如果用户没有该角色，则不会执行该方法。因此，您应该在服务层中使用@Secured。

你需要这样的东西。

@PreAuthorize(hasRole('ROLE_ADMIN'||'ROLE_USER'))
@RequesMapping(value="/doblahblah")
public String doBlahBlahh(){
    methodOnlyAdminCanExecute();
    methodOnlyUserCanExecute();
}

@PreAuthorize(hasRole('ROLE_USER'))
@RequesMapping(value="/douserstuff")
public String douserstuff(){
    methodOnlyAdminCanExecute();
    methodOnlyUserCanExecute();
}

服务层：

public class adminCode{

@Secured("ROLE_ADMIN")
public void doAdminStuff(){
//dostuff
}

}

现在，即使在第二个控制器方法中调用了此方法，它也不会执行，@Secured注释将被处理，并且该方法不会执行。

这是我从你的问题中理解的，如果这不是你要找的，我会删除我的答案。