使用 spring 和 mongodb 基于角色访问服务方法

Question

我有一个要求，我需要使用基于角色的访问服务方法。我有安静的服务，我使用 spring-data 与 MongoDB 交互。

我有一些限制。我处理数据库中称为“组织”的文档。在每个组织中，我都知道谁是管理员。我没有可以访问这些服务的用户存储库。

因此，我可以强制执行一些基于访问的规则的唯一方法是检查登录用户是否是为每个组织配置的管理员之一，然后允许用户访问这些方法。

我应该考虑在这种情况下应用 Spring 安全性吗？否则，是否会针对数据库文档中配置的管理员对用户进行简单检查？我可以一次性进行此检查，以便我可以根据我的用例需求将其应用于服务方法。

请就如何解决这个问题提供您的建议/想法。

Answer 1

如果您使用 Spring Security，您的其余方法可以利用传入的经过身份验证的 Principal 对象（例如 here），然后您可以执行任何所需的额外验证（例如检查管理员是否适合所请求的给定组织等）还有many other 参数也可用，也许允许这种组织检查只进行一次并存储在会话对象中。