Spring Data REST - 如何处理对象所有权答案

【问题标题】：Spring Data REST - How to handle object ownershipSpring Data REST - 如何处理对象所有权
【发布时间】：2016-03-12 06:03:03
【问题描述】：

如何在 Spring Data REST 应用程序的 REST 接口中处理所有权？

使用典型的经理管理员工场景，我有一个业务规则，即如果员工由访问数据的经理管理，经理只能查看员工的信息：

Manager | Employee
--------+---------
1       | A
1       | B
2       | C

GET /employees/C 请求应在经理 2 访问时返回员工记录，但应为经理 1 返回 400 Bad Request（或类似内容）。如何使用 Spring Data REST/Spring Security 完成此操作？

【问题讨论】：

【解决方案1】：

理论上，这可以通过 Spring Security ACL 实现。来自 github 的示例项目是 here

您也可以通过不同的方式实现这一点，根据这篇文章 - here

说了这么多，还是挺复杂的。 Spring Security 和 ACL 没有很好的文档记录。如果您需要更多指向此答案的链接，请告诉我。

【讨论】：