Grails：OR 角色的@Secured 注释答案

【问题标题】：Grails: @Secured annotation for OR rolesGrails：OR 角色的@Secured 注释
【发布时间】：2017-05-28 13:47:14
【问题描述】：

在我正在使用的 Grails 中

import grails.plugin.springsecurity.annotation.Secured

@Secured({'ROLE_COMPANY', 'ROLE_BACKEND_ADMIN'})
class MobileSendersController {

但它在角色之间建立了 AND 关系。我需要一个 OR 关系。允许访问ROLE_COMPANY 或ROLE_BACKEND_ADMIN。

在这个question 中，答案建议使用@PreAuthorize。我在 Grails 中尝试过，但没有运气。也许我需要修改前注和后注，但我找不到配置。

有什么想法吗？

【问题讨论】：

【解决方案1】：

如果你看一下documentation 前面的@Secured，你会发现它使用了SpEL 表达式（documentation，关于这个），所以你可以做很多事情。特别是，您可能希望像这样使用hasAnyRole()：

@Secured("hasAnyRole('ROLE_COMPANY', 'ROLE_BACKEND_ADMIN')")

【讨论】：

【解决方案2】：

这样就可以解决问题了——

import grails.plugin.springsecurity.annotation.Secured

@Secured(['ROLE_COMPANY', 'ROLE_BACKEND_ADMIN'])
class MobileSendersController {

【讨论】：

【解决方案3】：

为什么一个控制器有两个角色？也许考虑为您的控制器设置一个权限，然后您可以将该权限添加到您的 ROLE_COMPANY 和 ROLE_BACKEND_ADMIN 角色。

【讨论】：

有趣的想法。但。假设您有角色 A、B、C 和控制器 C1、C2、C3。 A 和 B 可以访问 C1。B、C 可以访问 C2。A 只能访问 C3。使用您的方法，每个控制器都需要特殊许可。 OR 的方式更细化。