为匿名用户动态添加委托人/权限

Question

我正在使用 spring security 2.x (+spring + struts2)，并且希望在用户提交表单后动态向用户添加权限。

我有一个受保护的目录（/protected/dir/），该目录受 ROLE_USER 保护，

<sec:intercept-url pattern="/protected/dir/**" access="ROLE_USER, ROLE_ADMIN" />

用户登录后可以访问该目录。

我想通过向主体添加临时 ROLE_TEMP 来使提交表单（无需登录）的用户可以访问此内容（该主体可能甚至不存在，因为用户尚未登录，所以我可能也必须将其添加到securityContext）

我尝试访问 SecurityContext 并在我的控制器/操作类中添加新的主体。但我无法获取 SecurityContext。 （我认为 SecurityContext 只在它自己的线程上运行，你不能传递它，这就是我得到 NPE 的原因）

那么最好的方法是什么？

请指教 谢谢

Answer 1

支持匿名用户的一种方法是添加此过滤器：

/**
* Detects if there is no Authentication object in the SecurityContextHolder, 
* and populates it with one if needed.
*/
org.springframework.security.providers.anonymous.AnonymousProcessingFilter

过滤器具有此属性，将强制过滤器在请求完成后删除匿名会话：

 public void setRemoveAfterRequest(boolean removeAfterRequest);