Spring Security 使用通配符授权访问角色

Question

我是否可以在 标记的访问属性中使用通配符。

目前我有

但我希望能够使用

这可能吗？或者有人知道可以完成相同任务的解决方法吗？

谢谢

Answer 1

从 Spring 3.x 开始，Spring EL 中可以实现这一点。您要查找的表达式是 hasAnyRole(..)。

所以它应该看起来像这样：

<sec:authorize access="hasAnyRole('TICKET_VIEW', 'TICKET_EDIT')">
    ...
</sec:authorize>

这是更多 Spring EL 表达式的链接：
http://static.springsource.org /spring-security/site/docs/3.0.x/reference/el-access.html

Answer 2

我意识到这是一个老问题，但这个答案可能会对未来的搜索者有所帮助。

1) 允许固定集中的单个角色：这是简单的基本情况。

<security:authorize access="hasRole('ROLE_ADMIN_ABC')">
    You are allowed to see these admin links.
</security:authorize>

2) 允许固定集中的任何角色：对于您想要允许“以 ADMIN 开头的任何角色”的情况，您事先知道所有角色名称，并且您只有几个角色，jzelenkov的回答是完全正确的。但是，如果您有太多角色需要处理，您可能需要创建一个可以做出访问决策的自定义方法调用，并使用 SpEL 将其插入到访问属性中。该解决方案更接近最初提出的通配符问题。

<bean id="mySecurityBean" class="com.sample.MySecurityBean" />

<security:authorize access="@mySecurityBean.roleStartsWith(principal, 'ROLE_ADMIN_')">
    You are allowed to see these admin links.
</security:authorize>

public class MySecurityBean {
    /**
     * Returns true if any role starts with some prefix.
     */
    public boolean roleStartsWith(UserDetails user, String rolePrefix) {
        for (GrantedAuthority auth : user.getAuthorities()) {
            if (auth.getAuthority().startsWith(rolePrefix)
                return (true);
        }
        return (false);
    }
}

3) 允许动态集中的单个角色：如果您想要允许“以 ADMIN 开头的特定角色”，但您不一定知道所有允许的角色后缀，您可以使用 JSTL 在渲染时插入角色名称。例如，考虑一个具有许多工作区的应用程序，每个工作区都有一个唯一的代码。您想要为每个工作区创建一个 ROLE_ADMIN_workspaceName 角色。当某人访问 ABC 工作区页面时，您只希望在用户具有 ROLE_ADMIN_ABC 角色时显示管理链接。我们假设每个工作区都使用相同的 JSP 视图，并且名称作为 ${workspaceName} 传递到模型中。

<sec:authorize access="hasRole('ROLE_ADMIN_${workspaceName}')">
    You are allowed to see these admin links.
</sec:authorize>

4) 允许动态集中的任何角色：这与#2 的解决方案相同。