spring security 3 - 限制对实际用户的角色访问

Question

在我的 Web 应用程序中，我希望用户（角色 USER）拥有他们只能看到自己的私人页面。我还想要一个超级管理员（角色 ADMIN），它可以查看所有用户的所有私人页面。

所以我按照以下方式对 url 进行建模：

/user/{userId}/...

现在除了 ADMIN 之外，只有具有用户 ID 的 USER 才能调用此页面。用户可以动态添加，用户ID为生成的序列号。

我开始这样建模：

<http pattern="/user/**" use-expressions="true"  >
    ...
    <intercept-url pattern="/user/**" access="hasAnyRole('ROLE_USER', 'ROLE_ADMIN')" />
    ... 
</http>

但是这样做会例如允许用户 ID 为 2 的 USER 调用 /user/1/...

这样做的正确方法是什么？谁能举个例子？

Answer 1

/user/{userId}/ 中的 userId 仅在用户具有 ADMIN 角色时才有意义。对于其他用户，只需忽略该参数并使用

UserDetails userDetails =
      (UserDetails)SecurityContextHolder.getContext().getAuthentication().getPrincipal();

if('ROLE_ADMIN' in userDetails.getAuthorities() ){
    //get user indentified by userId
}
else{
   //get current user 
}

获取当前用户相关信息。