如何限制用户访问控制器的特定操作？

Question

 def filters = {
   loginCheck(controller:'*', action:'*') {
        before = {
           if(!session.user && !session.merchants) 
           {
               redirect(action:'login')
               return false
            }
        }}

这是我的登录安全过滤器。下面是用于限制用户搜索操作的拦​​截器。但两者都不起作用。谁能告诉我错误是什么吗？

def beforeInterceptor = [action:this.&checkUser,Only:'search']

    def scaffold = true
    def checkUser() 
    {
        if (session.user)
        {
            redirect(action:"search")
        }
        if(session.merchants)
        {
        redirect(action:"toIndex")
        flash.message="You are not valid user for this action"
        return false
        }   
    }

Answer 1

有一个非常好的简写方式，您可以直接应用于操作（如果您不使用过滤器）：

@Secured(['ROLE_USER'])
def search = {

}

您可以为每个用户授予 ROLE_USER 并简单地要求该角色。

Answer 2

实际上，您的过滤器应该按照为每个控制器和每个操作设置的方式工作。
这是参考文献中的 grails 示例：

class SecurityFilters {
   def filters = {
       loginCheck(controller:'*', action:'*') {
           before = {
              if(!session.user && !actionName.equals('login')) {
                  redirect(action:'login')
                  return false
               }
           }
       }
   }
}

我使用过这个，它对我有用。
我不确定代码中的 session.merchants 。
这是什么？

你有没有遵循这个：

要创建过滤器，请创建一个类
以约定结束 Filters in
grails-app/conf 目录。

---

编辑：
如果您使用 spring security，则不需要添加过滤器或拦截器。
检查用户指南：http://burtbeckwith.github。 com/grails-spring-security-core/docs/manual/index.html

您可以使用 url 映射或注释来配置它。

前任。

grails.plugins.springsecurity.controllerAnnotations.staticRules = [
   '/js/admin/**': ['ROLE_ADMIN'],
   '/someplugin/**': ['ROLE_ADMIN']
]

---

编辑2：

要获取登录用户，请使用：

 def authenticateService

...
def action{
     def user = authenticateService.principal() 
     def username = user?.getUsername()
...