使用 wicket auth-role 对 wicket 组件进行授权

Question

我正在使用 wicket 1.4.9 并实现了 spring + wicket auth-role 并基于页面上的角色使用 @AuthorizeInstantiation 。我有多个自定义角色。

我已按照此链接来实现基础知识： https://cwiki.apache.org/WICKET/spring -security-and-wicket-auth-roles.html

之后，我实现了自己的 UserDetailsS​​ervice 以从数据库中拥有自己的角色/用户。

现在，如何通过组件（例如链接、按钮）对角色进行控制？喜欢 链接 A 只能由 SUPER_USER、DR_MANAGER 访问。 （角色来自数据库）。

我已经这样做了，它似乎有效，但这是这样做的好方法吗？ OrbitWebSession 的类型为 AuthenticatedWebSession。

        @Override
        public boolean isVisible() {
            if(OrbitWebSession.get().getRoles().hasRole("SUPER_USER")){
                return true;
            }
            return false;
        }

谢谢。

Answer 1

覆盖始终是可见的，这是一个很大的痛苦。请查看 MetaDataRoleAuthorizationStrategy。您可以使用 Action RENDER 以及您想要允许的角色来调用 authorize(Component component, Action action, String Roles)。这样，只要在您的 Web 应用程序中注册了授权策略，该组件（无论它是什么）都会自动对其他角色隐藏。基本上它的作用与 Holms 的回答相同，只是您不必对任何内容进行子类化。

Answer 2

你走在正确的轨道上，我要做的唯一改变是：

@Override
public boolean isVisible() {
    return super.isVisible() && OrbitWebSession.get().getRoles().hasRole("SUPER_USER");
}

这样你就不会意外地覆盖它的默认可见行为，例如，如果父组件不可见。

Answer 3

使用 @AuthorizeAction 注释，您可以控制是否根据角色呈现组件。它非常容易使用，但是您必须对要授权的组件进行子类化。

@AuthorizeAction(action = Action.RENDER, roles = { "SUPER_USER", "DR_MANAGER" })
class UserAdminPageLink extends BookmarkablePageLink<String> {
   //Implementation…
}
add(new UserAdminPageLink("UserAdminPageLink", UserAdminPage.class));

查看Wicket 示例 - 授权以获取一些工作代码。