Spring Security ACL - 具有 READ 权限的用户可以撤销自己的访问权限吗？

Question

我们在域对象上使用 Spring ACL。我有一个用例，用户可以被授予对对象的 READ 权限，但我们希望这些用户也能够撤销他们自己的权限（即删除他们自己的，并且只删除他们自己的对象授权）。

我一直在查看 Spring Run-As 文档。这会是最好的路径吗？目前，当我在 Acl 实现中调用 deleteAce 方法（使用默认的 AclImpl 实现）时，我陷入了 AclAuthorisationStrategy 安全检查，需要管理员权限才能进行此更改。

Answer 1

您应该遵循的路径是实施您自己的org.springframework.security.acls.domain.AclAuthorizationStrategy 策略以满足您的要求。然后将您的实现注入org.springframework.security.acls.domain.AclImpl 或您使用的任何 ACL 实现。