Nhóm và acl trên Spring Security

Question

Tôi muốn sử dụng Bảo mật mùa xuân để quản lý người dùng, nhóm và quyền.

Tôi muốn sử dụng ACL để bảo vệ đối tượng miền của mình nhưng tôi không thể tìm cách chỉ định nhóm cho acl.

Ví dụ: Tôi có người dùng và nhóm. Mỗi nhóm có thể có các chứng khoán sau: - quản lý diễn đàn (có thể là một vai trò như ROLE_FORUM_MANAGER) - chỉnh sửa một diễn đàn cụ thể (acl trên diễn đàn cụ thể).

Hơn nữa, Nhóm được xác định bởi người dùng có vai trò ROLE_PERMISSION_MANAGER. NHƯNG tất cả các nhóm được xác định bởi người dùng này chỉ có thể được chỉnh sửa và quản lý bởi người dùng này. Vì vậy, nhóm được đính kèm với người dùng. Chính xác, hãy tưởng tượng rằng người dùng tạo nhóm google: người dùng này chỉ có thể quản lý nhóm quyền phù hợp cho nhóm mà anh ấy đã tạo. Và do đó, anh ấy có thể tạo nhóm để quản lý diễn đàn cụ thể của nhóm google của riêng mình.

Tôi có thể làm như thế nào?

Tôi đọc các tài liệu an ninh mùa xuân và các hướng dẫn sau đây (vì vậy xin đừng gửi cho tôi những liên kết): http://grzegorzborkowski.blogspot.com/2008/10/spring-security-acl-very-basic-tutorial.html http://blog.denksoft.com/?page_id=20

Answer 1

Kiểm tra Spring Security 3.0, bạn có thể tránh sử dụng ACL ở tất cả bằng cách sử dụng Ngôn ngữ biểu thức mùa xuân.

Ví dụ, để chỉnh sửa một diễn đàn, bạn sẽ có một phương pháp bảo đảm như thế này:

@PreAuthorize("hasRole('ROLE_FORUM_MANAGER') and hasPermission(#forum,'update')) 
public void updateForum(Forum forum) { 
    //some implementation 
} 

Sau đó, bạn sẽ thực hiện các phương pháp hasPermission trong một đánh giá cho phép tùy chỉnh, như:

public class ForumPermissionEvaluator implements PermissionEvaluator { 

    public boolean hasPermission(Authentication authentication, 
      Object domainObject, Object permission) { 
     //implement 
    } 

    public boolean hasPermission(Authentication authentication, 
      Serializable targetId, String targetType, Object permission) { 
     //implement 
    } 
} 

Cuối cùng, kết nối nó với nhau trong cấu hình ứng dụng:

<beans:bean id="expressionHandler" 
    class="org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler"> 
    <beans:property name="permissionEvaluator" ref="permissionEvaluator"/> 
</beans:bean> 

<beans:bean id="permissionEvaluator" 
    class="com.centrix.core.security.GroupPermissionEvaluator" /> 

Answer 2

tôi đã làm một cái gì đó tương tự như 'bằng tay': tức là tôi đã mã riêng của tôi để xác định những trường hợp nào có thể được chỉnh sửa/xóa bởi một người dùng cụ thể và chỉ dựa vào bảo mật mùa xuân để đảm bảo họ có vai trò đúng để truy cập chức năng và cung cấp thông tin vai trò/xác thực cho người dùng hiện tại.

Vì vậy, trong mã của tôi, tôi đã xác định hiệu trưởng hiện tại (lớp người dùng riêng của chúng tôi) và dựa trên đó tôi đã quyết định quyền của người dùng này đối với một cá thể cụ thể.

public static User getCurrentUser() { 
    User user = null; 
    Authentication auth = SecurityContextHolder.getContext().getAuthentication(); 
    if (auth != null) { 
     Object principal = auth.getPrincipal(); 
     if (principal instanceof User) { 
      user = (User)principal; 
     } 
    } 
    return user; 
} 

Answer 3

Tôi chỉ sử dụng Nhóm của bạn như Vai trò. Tôi đã tìm thấy việc triển khai Spring ACL khá khó sử dụng và phần lớn không sử dụng được. Chỉ cần gán người dùng cho "nhóm" (Vai trò trong tất cả thực tế) và kiểm tra chúng như bạn sẽ ủy quyền dựa trên vai trò bình thường.