使用 Spring MVC 进行基于角色的访问控制

Question

我想知道 Spring 基于角色的访问控制的最佳实践。

我的要求是，

我将分配给用户一组角色，

user1=管理员，user2=专家

user1 的访问权限如下

/admin/会员管理

/admin/项目管理

......

对于 user2....

/myproject1/*

因此，如果 user2 尝试访问该网址

/admin/会员管理

将重定向到授权失败页面。

Answer 1

与 Spring MVC 一起使用的标准框架是 Spring Security。虽然它可能非常复杂，但这是您需要的最小版本： 4.2.2 最小配置

在您的情况下，配置将如下所示：

<http auto-config='true'>
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
</http>

Answer 2

Spring Security 有角色的概念，但开箱即用，它没有权限的概念。它确实有一个 ACL 但此 ACL 比权限复杂得多，并且它们与对特定对象的操作相关，而不是一般授权操作。

看一下 Apache Shiro。它的角色和权限看起来与您给出的示例非常相似（使用通配符）。它也易于与 Spring 一起使用。

Answer 3

public class DashBoardController {

@Autowired
UserService userService;

private static final Logger logger = LoggerFactory.getLogger(DashBoardController.class);

@SuppressWarnings("unchecked")
@RequestMapping(value = PathProxy.DashBoardUrls.SHOW_DASHBOARD, method = RequestMethod.GET)
public String role(Locale locale, Model model) {
    String userRole = null;
    logger.info("dashboard Controller");
    Collection<SimpleGrantedAuthority> authorities = (Collection<SimpleGrantedAuthority>) SecurityContextHolder
            .getContext().getAuthentication().getAuthorities();
    for (SimpleGrantedAuthority simpleGrantedAuthority : authorities) {
        userRole = simpleGrantedAuthority.toString();
    }

    switch (userRole) {

    case "ROLE_ADMIN":

        return "dashboard/admin";

    case "ROLE_HR_MANAGER":

        return "dashboard/hr_manager";

    case "ROLE_MANAGER":

        return "dashboard/manager";

    case "ROLE_EMPLOYEE":

        return "dashboard/employee";

    case "ROLE_COMPANY_ADMIN":

        return "dashboard/admin";

    default:

        break;
    }

    return userRole;

}

}