如何锁定 Grails spring-security-ui 控制器？

发布于 2024-12-11 14:40:27 字数 235 浏览 0 评论 0原文

我正在创建我的第一个 Grails 应用程序，并使用 spring-security-core 和 spring-security-ui。我已经锁定了在应用程序中创建的控制器，但事实上存在一个漏洞，任何未经身份验证的用户都可以访问 spring-security-ui 控制器。将这些控制器的访问权限限制为特定角色的正确方法是什么？

我正在考虑在每个控制器上运行 s2ui-override，然后在类级别实现安全注释。这是一个合理的方法吗？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

别挽留 2024-12-18 14:40:27

我通常在 Config.groovy 中为应用程序控制器使用注释，并为 spring-security 和 spring-security-ui 等插件提供的控制器使用静态规则：

grails.plugins.springsecurity.controllerAnnotations.staticRules = [
    '/aclClass/**': ['ROLE_ADMIN'],
    '/aclSid/**': ['ROLE_ADMIN'],
    '/aclObjectIdentity/**': ['ROLE_ADMIN'],
    '/aclEntry/**': ['ROLE_ADMIN'],
    '/persistentLogin/**': ['ROLE_ADMIN'],
    '/requestmap/**': ['ROLE_ADMIN'],
    '/securityInfo/**': ['ROLE_ADMIN'],
    '/registrationCode/**': ['ROLE_ADMIN'],
    '/role/**': ['ROLE_ADMIN'],
    '/user/**': ['ROLE_ADMIN'],
    '/console/**': ['ROLE_ADMIN'],

    '/register/**': ['IS_AUTHENTICATED_ANONYMOUSLY']
]

I generally use annotations for application controllers and static rules in Config.groovy for the controllers provided by plugins like spring-security and spring-security-ui:

grails.plugins.springsecurity.controllerAnnotations.staticRules = [
    '/aclClass/**': ['ROLE_ADMIN'],
    '/aclSid/**': ['ROLE_ADMIN'],
    '/aclObjectIdentity/**': ['ROLE_ADMIN'],
    '/aclEntry/**': ['ROLE_ADMIN'],
    '/persistentLogin/**': ['ROLE_ADMIN'],
    '/requestmap/**': ['ROLE_ADMIN'],
    '/securityInfo/**': ['ROLE_ADMIN'],
    '/registrationCode/**': ['ROLE_ADMIN'],
    '/role/**': ['ROLE_ADMIN'],
    '/user/**': ['ROLE_ADMIN'],
    '/console/**': ['ROLE_ADMIN'],

    '/register/**': ['IS_AUTHENTICATED_ANONYMOUSLY']
]

回复收藏 0 原文

~没有更多了~