在春季安全中实现每组授权的最佳方法

Question

我正在尝试根据用户在组中的角色为用户授权某些操作的最佳方法。
例如，Peter 在 A 组中具有管理员角色，因此他可以踢 A 组中的成员和 B 组中的成员角色，因此他只能读取 B 组中的内容。
this is what model of user group relationship looks like.
有没有比在 UserDetails 中加载组角色更好的方法来实现授权：

(for (GroupUser groupuser: user.getGroupUsers()) {
   authorities.add(new SimpleGrantedAuthority('Group_'+groupuser.getId().getGroupId()+'_'+groupuser.getRole()));} 

Answer 1

这是ABAC权限模型，其安全决策不仅取决于用户的信息，还取决于受保护资源的状态/属性。

就 spring security 而言，最好使用@PreAuthorize / @PostAuthorize / @PostFilter 实现，这允许您使用 SpEL 表达式以声明方式定义安全逻辑，该表达式最终将评估为 true/错误的。在 SpEL 中，您可以访问方法的输入参数和返回对象，该方法执行您想要应用安全性的用例，甚至可以引用 spring bean 来调用其方法进行评估。

例如，您可以执行以下操作：

@PreAuthorize("@authzService.isAllowToKickMember(principal , #userToKick)")
public void kickMemeber(User userToKick){
    
}


@Service
public class AuthzService{

    public boolean isAllowToKickMember(User currentUser , User userToKick){
        //check if current user can kick a given user
    }
}

如需指点，请查看this。