Spring security hasAnyRole和不同权限的不同流

Question

在我的 Spring Boot 应用程序中，我有一个带有以下方法的 REST 控制器：

@PreAuthorize("hasAnyRole('PERMISSION_UPDATE_OWN_COMMENT', 'PERMISSION_UPDATE_ANY_COMMENT')")
@RequestMapping(value = "/update", method = RequestMethod.POST)
public CommentResponse updateComment(@AuthenticationPrincipal User user, @Valid @RequestBody UpdateCommentRequest commentRequest) {
    Comment comment = commentService.updateComment(commentRequest.getCommentId(), commentRequest.getTitle(), commentRequest.getContent(), user);
    return new CommentResponse(comment);
}

只有PERMISSION_UPDATE_OWN_COMMENT 或PERMISSION_UPDATE_ANY_COMMENT 的用户才能使用此端点。

在此方法中，我需要创建两个不同的流程 - 一个用于具有PERMISSION_UPDATE_OWN_COMMENT 权限的用户，另一个用于具有PERMISSION_UPDATE_ANY_COMMENT 权限的用户。

所以我的问题是 - 为了在单个方法中实现这些不同的逻辑流，Spring 安全性的最佳实践是什么？

我是否应该在 updateComment 方法内部验证用户是否拥有一个或另一个权限并基于此条件实现我的逻辑？

Answer 1

最简单的方法是在控制器内部的 updateComment 函数中执行逻辑。因为，你可以很容易地从action参数中获取SecurityContextHolderAwareRequestWrapper的实例来找到角色。

但最佳做法是将您的逻辑放入服务中。这将使您的生活更容易在另一个地方重用逻辑，例如RESTFul APIs。

所以你可以使用下面的代码或类似的东西来检查服务中的角色。

Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
boolean authorized = authorities.contains(new SimpleGrantedAuthority("PERMISSION_UPDATE_OWN_COMMENT"));

（已编辑更多信息）

功能齐全，可用于检查roles

protected boolean roleExist(String role) {
    SecurityContext context = SecurityContextHolder.getContext();
    Authentication authentication = context.getAuthentication();
    for (GrantedAuthority auth : authentication.getAuthorities()) {
        if (role.equals(auth.getAuthority()))
            return true;
    }
    return false;
}