带 EL 的 Spring 安全注释——需要编译调试信息吗？

Question

我正在考虑为我的应用程序使用 Spring Security 注释以及 EL（表达式语言）功能。例如：

@PreAuthorize("hasPermission(#contact, 'admin')")
public void deletePermission(Contact contact, Sid recipient, Permission permission);

我需要 EL 功能，因为我已经构建了自己的 ACL 实现。然而，要将此功能与“#contact”类型参数一起使用，Spring 文档是这样说的：

您可以访问任何方法 按名称作为表达式的参数 变量，前提是你的代码有 编译的调试信息。

两个问题：

1. 这引出了 生产应用商业化 分发其中包含调试信息？
2. 如果没有，有什么办法吗 这？

感谢您对此的任何指导！

Answer 1

作为解决方法，您可以实现自定义 ParameterNameDiscoverer 用你自己的策略。这是一个生成简单编号名称（arg0 等）的示例：

public class SimpleParameterNameDiscoverer implements
        ParameterNameDiscoverer {

    public String[] getParameterNames(Method m) {
        return  getParameterNames(m.getParameterTypes().length);        
    }

    public String[] getParameterNames(Constructor c) {
        return getParameterNames(c.getParameterTypes().length);        
    }

    protected String[] getParameterNames(int length) {
        String[] names = new String[length];

        for (int i = 0; i < length; i++)
            names[i] = "arg" + i;

        return names;
    }
}

和配置：

<global-method-security ...>
    <expression-handler ref = "methodSecurityExpressionHandler" />
</global-method-security>

<beans:bean id = "methodSecurityExpressionHandler" 
    class = "org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler">
    <beans:property name = "parameterNameDiscoverer">
        <beans:bean class = "foo.bar.SimpleParameterNameDiscoverer" />
    </beans:property>
</beans:bean>

Answer 2

我想当您第一次解决这个问题时这不是一个选择，但现在您可以这样做

@PreAuthorize("hasPermission(#contact, 'admin')")
public void deletePermission(@P("contact") Contact contact, Sid recipient, Permission permission);

http://docs.spring.io/spring-security/site/docs/current/reference/html /el-access.html#access-control-using-preauthorize-and-postauthorize

Answer 3

我现在找不到参考资料，但您可能有兴趣知道 Java 8 将始终包含参数名称，即使我相信 Java 8 将始终包含参数名称，即使在调试模式下也是如此。