具有外部角色的 REST 授权答案

【问题标题】：REST authorization with exteral roles具有外部角色的 REST 授权
【发布时间】：2015-04-23 17:10:29
【问题描述】：

我有一个场景，我在不同的系统中拥有角色和权限（我需要进行 REST 调用），并且该系统将指定我是否可以访问特定资源。

我需要拦截我的控制器方法，并且拦截器应该与外部服务通信并确定授权。我只使用弹簧靴（没有弹簧安全）。

它应该与with JAX-RS 类似，但我正在寻找春天的背景。我可以使用@RolesAllowed 实现这一目标吗？

【问题讨论】：

欢迎来到 Stack Overflow！我已经编辑了你的问题，希望能更好地反映你的意图并稍微清理一下:) 如果你认为我改变了你的意图，请随时恢复编辑。祝你好运！

【解决方案1】：

我建议使用拦截器：

【讨论】：

【解决方案2】：

您需要有一个您将使用注释的配置（检查 spring documentation）

@EnableGlobalMethodSecurity(jsr250Enabled = true)

然后您必须创建自己的访问决策管理器并注册您自己的角色。有了这个，您应该能够将控制器注释给特定用户，例如 @RolesAllowed("admin")

【讨论】：