用户更新自己的记录，可以评论别人的记录

Question

我对某个要求有点困惑。我想要有经验的意见。

我有一个 Spring Security、Struts 2 应用程序。它使用不同的用户角色来确保安全，例如 ROLE_USER、ROLE_ADMIN 和 ROLE_SUBADMIN。用户和子管理员输入产品信息。我有一个菜单选项用户配置文件，用户可以在其中查看自己的记录。 ROLE_USER 应该只能编辑他/她自己的产品，而ROLE_SUBADMIN 应该可以编辑任何产品。任何用户（ROLE_USER 或 ROLE_SUBADMIN）都应该能够对任何产品发表评论。

实现这一目标的最佳方法是什么？

1. Spring 安全 ACL
2. 将用户 ID 与产品信息一起存储在数据库中，然后使用搜索查询显示记录并根据角色限制用户。

处理这种情况的常见做法是什么？

提前感谢您的专家 cmets。

Answer 1

如果您已经在使用 Spring Security，则选项 1) 更适合于此。如果不使用 Spring Security，那么它就超出了这个问题的主题。你说你已经在使用它了。您仍然必须实施 ACL 或选择其他已经实施的解决方案。但是，如果您在实施我非常怀疑的选项 2) 时您的要求没有增加，并且问题本身很模糊，那么选项 2) 更快且易于实施。