Java 春季保护REST资源的更好方法？
我有一个RESTful服务，它公开像Java 春季保护REST资源的更好方法？,java,spring,rest,spring-security,Java,Spring,Rest,Spring Security,我有一个RESTful服务，它公开像/user/{id} 现在，用户可以提供凭据、获取令牌并访问资源。但是，一旦通过身份验证，用户就可以访问任何id的资源 也就是说，user1可以访问uri，比如/user/1以及user/2等等。最后，我在控制器方法中使用了主体，并开始使用用户试图访问的id检查主体的id 此外，用户具有与其关联的多个资源。比如说，user1拥有res1和res2，user2拥有res3和res4。这些可通过/user/1/res/2访问。我需要一种方法来阻止/user/1/r
/user/{id}id/user/1user/2主体id主体id/user/1/res/2/user/1/res/3谢谢如果所有用户都只能访问自己的id，那么您根本不应该公开资源
/user/{id}/user@PreAuthorize("isUsersRes(#id)")
@RequestMapping(method = RequestMethod.GET, value = "/users/{id}")
public UsersfindById(@PathVariable long id) {
return Users.findOne(id);
}
public CustomMethodSecurityExpressionRoot(Authentication authentication) {
super(authentication);
}
public class CustomMethodSecurityExpressionRoot
extends SecurityExpressionRoot implements MethodSecurityExpressionOperations {
public boolean isMember(Long OrganizationId) {
//user logic
}
检查完整的博客如果所有用户都只能访问自己的id，那么您根本不应该公开资源
/user/{id}/user@PreAuthorize("isUsersRes(#id)")
@RequestMapping(method = RequestMethod.GET, value = "/users/{id}")
public UsersfindById(@PathVariable long id) {
return Users.findOne(id);
}
public CustomMethodSecurityExpressionRoot(Authentication authentication) {
super(authentication);
}
public class CustomMethodSecurityExpressionRoot
extends SecurityExpressionRoot implements MethodSecurityExpressionOperations {
public boolean isMember(Long OrganizationId) {
//user logic
}
查看完整的博客您想要的是用户角色和权限+跨用户控制。要了解用户角色和权限，请参阅 此外，您可能还希望将其用户ID与资源ID进行交叉检查。由于无法让user2查看user1的资源ID 1，因此您需要将userID添加为资源ID的一部分，例如：-/user/user\u ID\u 1。
否则，我们没有逻辑方法来区分哪些资源适用于哪些用户。您需要的是用户角色和权限+跨用户控制。要了解用户角色和权限，请参阅 此外，您可能还希望将其用户ID与资源ID进行交叉检查。由于无法让user2查看user1的资源ID 1，因此您需要将userID添加为资源ID的一部分，例如：-/user/user\u ID\u 1。
否则，我们就没有一种逻辑方法来区分哪些资源适用于哪些用户。这是一个常见的问题，有各种解决方案。这也不是一个与REST无关的问题。自从应用程序存在以来，我们就有过这种情况。员工可以查看他的工资单、休假记录等，但不能查看其他员工的。 我最喜欢的一个解决方案是“深度安全”。这个想法来源于我几十年来在银行系统中看到这项工作的方式。这需要首先在数据库层得到支持。 您将需要类似于此示例的表设计（或应用程序的实体层次结构）： 所有非主表都需要与其中一个实体建立关系。例如：
Payslip -> user
Leave record -> user
Manager -> dept
HR Manager -> org
ACL table
user, uid, dept, org
--------------------
jhon, 1 , 1 , 1
mary, 2 , 2 , 1
will, 3 , 2 , 1
Payslip table
--------------
month, net, deductions,..., uid
-------------------------------------
Jan , 200, 15.5 ,..., 3
Feb , 200, 15.5 ,..., 3
Project table
-------------
pname, pstart, pbudget, dept
------------------------------------
mark1, 12/21 , 20000 , 2
markx, 12/31 , 40000 , 2
这是一个常见的问题，解决方案多种多样。这也不是一个与REST无关的问题。自从应用程序存在以来，我们就一直存在这个问题。员工可以查看他的工资单、休假记录等，但不能查看其他员工的。 我最喜欢的一个解决方案是“深度安全”。这个想法来源于我几十年来在银行系统中看到这项工作的方式。这需要首先在数据库层得到支持。 您将需要类似于此示例的表设计（或应用程序的实体层次结构）： 所有非主表都需要与其中一个实体建立关系。例如：
Payslip -> user
Leave record -> user
Manager -> dept
HR Manager -> org