基于 Spring Ownership 的访问

Question

请不要将此标记为重复，因为提供的可用解决方案包含安全问题并且不涵盖所有 CRUD 案例！

我想通过将对象的存储userId 与SecurityContextHolder.getContext().authentication 进行比较来保护某些对象。

我知道我必须在执行操作之前获取对象，因为这是获取 userId 的唯一方法。

我想保护像这样的控制器方法：

@GetMapping("/deliveryAddresses/{id}")
    fun getDeliveryAddressById(@PathVariable(value = "id") deliveryAddressId : Long): 
        ResponseEntity<BasicDeliveryAddress> {
            return deliveryAddressService.findById(deliveryAddressId)?.let { ResponseEntity.ok(it) } 
                ?: ResponseEntity.notFound().build()
    }

保护此对象的最佳实践方法是什么？我不想在我的代码中进行多次重复的所有权检查。另外请建议在哪里添加检查（控制器，服务，...？）

这正是我想要避免的（伪代码）：

fetchById(id) {
    val myObject = ...
    if(myObject.userId == authUser.userId) {
        ...
    }
}

请为此问题提供一个干净的解决方案。

更新 - 解决方案的一部分

我不知道我可以通过仅传递 ID 来直接获取方法头中的对象。

@GetMapping("/something/{id}")
fun getSomethingByID(@PathVariable(value = "id") something: Something): ResponseEntity<BasicDeliveryAddress> { ... }

有了这些附加信息和@Ken Chan 提供的答案（已接受），您应该能够轻松实现基于所有权的安全性！

Answer 1

使用@PreAuthorize，它允许您定义一个SpEL，它将被评估为布尔值，以查看是否允许执行方法。

您有多种选择：

(1) 使用 SpEL 引用执行检查的 bean 方法：

@PreAuthorize("@authzService.isAllowToDo(#deliveryAddressId)")
public ResponseEntity<BasicDeliveryAddress> getDeliveryAddressById(Long deliveryAddressId {

}


@Service
public class AuthzService{

    public boolean isAllowToDo(Long deliveryAddressId){
        //Do the checking here....
    }
}

(2) 使用内置的hasPermission 表达式：

@PreAuthorize("hasPermission(#deliveryAddressId, 'read')")
public ResponseEntity<BasicDeliveryAddress> getDeliveryAddressById(Long deliveryAddressId{

}

它需要自定义PermissionEvaluator 才能工作。与 (1) 相同的想法，但它是一个内置的解决方案。

(3) 如果求值逻辑简单，方法签名为 允许，你可以直接用SpEL表示：

@PreAuthorize("#deliveryAddress.userId == authentication.userId")
public ResponseEntity<BasicDeliveryAddress> getDeliveryAddressById(BasicDeliveryAddress deliveryAddress){

}

authentication 是访问SecurityContextHolder 中的Authentication 对象的内置表达式之一，我假设您已经对其进行了自定义以包含userId。