Spring Security UI Grails 只为管理员搜索/创建/编辑用户？

Question

我目前正在研究 Grails 中的解决方案，并且我已经安装了以下安全插件：

• Spring 安全核心
• Spring 安全用户界面

我基本上会有一个具有以下安全结构的解决方案：

• 超级用户
• 管理员（针对不同的业务领域）
• 用户（不同业务领域内）

所以基本上我安装了 Spring Security UI 是为了让各个业务区域管理员管理他们自己的区域，他们应该能够使用 UI 以便他们只搜索自己区域中的用户，创建用户在他们自己的区域中，并且只在他们自己的区域中编辑用户。然而，spring security UI 让有权访问一揽子访问权限的人可以做任何事情。

我在 spring 安全域模型中添加了一个额外的字段，即“区域”，所以我在想当管理员搜索用户时，他们只会看到与他们在同一区域的用户，当他们创建用户时，他们只能对自己的区域进行，并且只能编辑自己区域的用户。

下面是 spring security UI 用于搜索用户的一些代码，我可以修改它以便只返回与当前登录的管理员在同一区域的用户吗？还是有更好的方法？

def userSearch = {

    boolean useOffset = params.containsKey('offset')
    setIfMissing 'max', 10, 100
    setIfMissing 'offset', 0

    def hql = new StringBuilder('FROM ').append(lookupUserClassName()).append(' u WHERE 1=1 ')
    def queryParams = [:]

    def userLookup = SpringSecurityUtils.securityConfig.userLookup
    String usernameFieldName = userLookup.usernamePropertyName

    for (name in [username: usernameFieldName]) {
        if (params[name.key]) {
            hql.append " AND LOWER(u.${name.value}) LIKE :${name.key}"
            queryParams[name.key] = params[name.key].toLowerCase() + '%'
        }
    }

    String enabledPropertyName = userLookup.enabledPropertyName
    String accountExpiredPropertyName = userLookup.accountExpiredPropertyName
    String accountLockedPropertyName = userLookup.accountLockedPropertyName
    String passwordExpiredPropertyName = userLookup.passwordExpiredPropertyName

    for (name in [enabled: enabledPropertyName,
                  accountExpired: accountExpiredPropertyName,
                  accountLocked: accountLockedPropertyName,
                  passwordExpired: passwordExpiredPropertyName]) {
        Integer value = params.int(name.key)
        if (value) {
            hql.append " AND u.${name.value}=:${name.key}"
            queryParams[name.key] = value == 1
        }
    }

    int totalCount = lookupUserClass().executeQuery("SELECT COUNT(DISTINCT u) $hql", queryParams)[0]

    Integer max = params.int('max')
    Integer offset = params.int('offset')

    String orderBy = ''
    if (params.sort) {
        orderBy = " ORDER BY u.$params.sort ${params.order ?: 'ASC'}"
    }

    def results = lookupUserClass().executeQuery(
            "SELECT DISTINCT u $hql $orderBy",
            queryParams, [max: max, offset: offset])
    def model = [results: results, totalCount: totalCount, searched: true]

    // add query params to model for paging
    for (name in ['username', 'enabled', 'accountExpired', 'accountLocked',
                  'passwordExpired', 'sort', 'order']) {
        model[name] = params[name]
    }

    render view: 'search', model: model
}

编辑....

我相信这可能与下面的代码有关：

def results = lookupUserClass().executeQuery(
            "SELECT DISTINCT u $hql $orderBy",
            queryParams, [max: max, offset: offset])

我想我只需要更改此语句，以便它查找当前登录用户“区域”与用户相同的区域的用户列表。谁能帮我解决这个问题？

编辑 2.....

我现在已经对此进行了调查，并且已经能够获取用户区域，现在我需要做的就是修改对数据库的查询，以查找与管理员搜索具有相同区域的用户。我试过以下没有运气，有人可以帮我解决这个问题，因为我知道这一定很简单，只是似乎无法到达那里：-S

        def user = springSecurityService.currentUser
        def userArea = user.area

        def hql = new StringBuilder('FROM ').append(lookupUserClassName()).append(' u WHERE 1=1 AND u.area = userArea')

编辑 3.......

非常感谢，我的问题解决了一半，哈哈，现在只是 Ajax 部分：

我尝试了以下代码，以修改对 Ajax 函数的搜索，使其仅返回用户区域与当前登录用户相同的结果：

String username = params.term
            String usernameFieldName = SpringSecurityUtils.securityConfig.userLookup.usernamePropertyName
            def user = springSecurityService.currentUser

            setIfMissing 'max', 10, 100

            def results = lookupUserClass().executeQuery(
                    "SELECT DISTINCT u.$usernameFieldName " +
                    "FROM ${lookupUserClassName()} u " +
                    "WHERE LOWER(u.$usernameFieldName) LIKE :name AND LOWER(u.area) = :area " +
                    "ORDER BY u.$usernameFieldName",
                    [name: "${username.toLowerCase()}%"],
                    [area: "user.area"],
                    [max: params.max])

还尝试更改参数如下：

[area: user.area]

Answer 1

控制器正在构建 HQL 查询，因此您不能只说“WHERE u.area = userArea”，您需要使用命名参数并将值放入 queryParams 映射中

    def user = springSecurityService.currentUser

    def hql = new StringBuilder('FROM ').append(lookupUserClassName()).append(
        ' u WHERE u.area = :userArea ')
    def queryParams = [userArea:user.area]

对于问题的第二部分（Ajax 位），我怀疑您是否需要 LOWER 转换，并且您需要将所有查询参数放入一个映射中（第二个映射参数仅用于分页设置):

def results = lookupUserClass().executeQuery(
   "SELECT DISTINCT u.$usernameFieldName " +
   "FROM ${lookupUserClassName()} u " +
   "WHERE LOWER(u.$usernameFieldName) LIKE :name AND u.area = :area " +
   "ORDER BY u.$usernameFieldName",
   [name: "${username.toLowerCase()}%", area:user.area],
   [max: params.max])

如果您确实希望 area 检查不区分大小写，请将其保留为 LOWER(u.area) = :area，但您还需要将您测试的值转换为小写：

   [name: "${username.toLowerCase()}%", area:user.area.toLowerCase()],