REST 服务仅返回当前用户相关资源

Question

我有一个使用 Spring MVC (RestControllers) 实现的 REST 服务，该服务具有基于令牌的安全性（使用 Spring Security）。如何根据用户身份过滤资源？假设用户有一些报告。如何通过调用 /reports 让授权用户仅查看他的报告？

显然我可以让 userId 成为请求参数或路径变量，但有些东西告诉我这是一种不好的做法。

我假设我可以使用 Spring Security 功能实现这一点，但我究竟如何才能做到这一点，更重要的是，应用此类过滤的最合适位置在哪里？控制器应该执行对传递用户身份的服务的调用，还是应该在存储库级别以某种方式检索它（我使用 Spring Data JPA）？ 提前致谢

Answer 1

只要用户成功登录，您就有Authentication 对象。 它包含Object principalObject credentials 和Set authorities。

您需要做的就是覆盖UserDetailsService 为您的认证用户添加新参数。在身份验证中添加您的 userId 为 shown in blog

当你这样做时

SecurityContextHolder.getContext().getAuthentication().getPrincipal() 这将返回 Spring Security 的 User 对象。 您可以从这里获取用户 ID，并在控制器中使用它来执行必要的操作。