Spring 安全授权

Question

我有一个 Spring Web 服务，用户只能访问特定资源。任何用户都可以请求获取资源信息，但如果他们无权访问该资源，我需要抛出授权异常。 API如下：

GET /resources/{resourceId}

上述 API 为用户提供了有关给定资源的所有信息。

目前我使用WebSecurityConfigurerAdapter 进行身份验证。要添加授权，我观察到我可以将授予的权限设置为 Authentication 对象的一部分。这样做时，我可以使用@PreAuthorize("hasRole('ROLE_USER')") 之类的东西来进行授权。

但是，对于上述 API，我不确定上述授权方法是否适用，原因如下。

1. 我根据用户是否有权访问特定的resourceId 进行授权。这不完全是一个角色。更像是一种特权。在这个用例中使用hasRole() 是否仍然可以接受？
2. 如果我确实使用了hasRole() 注释，我将需要执行@PreAuthorize("hasRole('ACCESS_RESOURCEID12346')") 之类的操作，其中RESOURCEID12346 是resourceId。但是，我们只有在 API 控制器中才能访问resourceId。那么，如何将该值用于授权注释？

如果指定的方法不是解决问题的最佳方法，我将不胜感激任何关于最佳方法的输入/反馈。我想避免在控制器中进行此检查。我正在尝试通过类似于 @PreAuthorize 工作方式的 Spring Security 来完成它。我认为访问 resourceId 是一项授权要求，如果用户无权访问该资源，我们甚至不应该进入 API 控制器。

Answer 1

通过绑定到资源 ID 的角色分配权限似乎是潜在的维护噩梦。如果您不想允许访问控制器，那么access 可能是最好的选择。

以上链接包含基于 Java 和 xml 的配置示例，并展示了如何在进入控制器之前访问路径。

您将提供一个您引用的方法，例如：

boolean checkResourceAccess(Principal principal, int resourceId)

在您的配置中，您引用 url 参数，例如 #resourceId 将其映射到 {resourceId}。

Java 配置示例：

http.authorizeRequests()
    .antMatchers("/resources/{resourceId}")
    .access("@yourBean.checkResourceAccess(principal,#resourceId)")...

在该方法中，您提供确定用户访问权限所需的任何逻辑。