身份验证中的数据相关访问

Question

我正在构建一个网络应用程序，并且有一些操作是针对已识别人员的保护。

我使用 spring security 进行访问控制，但是我不知道如何在深入数据级别时控制它们。

例如，有两个操作list和edit操作。

公司管理员和某个部门管理员都可以访问这些操作，但他们可以“列出”或“编辑”的数据并不相同。

公司管理员可以访问公司的所有数据，而一个部门的管理员只能访问他/她所在部门的数据。

所以我想知道实现这些要求的最佳实践是什么？

Answer 1

最简单的方法 - 在服务层使用 PostFilter 注释。

@Transactional(readonly=true)
@PostFilter("hasPermission(filterObject, 'edit')")
List<DepartamentData> getDepartamenData();

@Transactional
@PreAuthorize("hasPermission(#data, 'edit')")
List<DepartamentData> editDepartamenData(DepartamentData data);

或者另一个例子：

@Transactional(readonly=true)
@PostFilter(
  "   hasRole('company_admin')" +
  "|| (hasRole('departament_admin') && filterObject.departament.equals(principal.departament))")
List<DepartamentData> getDepartamenData();