Question

是否可以使用切入点保护我的@Controller类？我试过了：

<global-method-security pre-post-annotations="enabled">
    <!-- Block anything ending with the word 'Controller'-->
    <protect-pointcut expression="execution(* my.pkg.*Controller.*(..))" access="NON_EXISTANT_ROLE"/>
</global-method-security>

理论上，我永远无法点击控制器，因为任何用户都不存在该角色。但是，控制器运行正常。

Answer 1

见Spring Security FAQ（强调我的）。

在Spring Web应用程序中，持有的应用程序上下文   调度程序servlet的Spring MVC bean通常是独立的   主要应用背景。它通常在一个名为的文件中定义   myapp-servlet.xml，其中“myapp”是分配给Spring的名称   web.xml中的DispatcherServlet。一个应用程序可以有多个   DispatcherServlets，每个都有自己独立的应用程序上下文。   这些“子”环境中的bean对于其余部分是不可见的   应用。 “父”应用程序上下文由   您在web.xml中定义的ContextLoaderListener，对所有人都可见   孩子的背景。此父上下文通常是您定义的位置   您的安全配置，包括   元件）。因此，任何安全约束都应用于方法中   由于无法看到bean，因此不会强制执行这些Web Bean   来自DispatcherServlet上下文。你需要移动    声明到Web上下文或移动了   您想要保护到主应用程序上下文中的bean。

通常我们建议在服务中应用方法安全性   层而不是单个Web控制器。

如果您将切入点应用于服务图层，则只需在应用的安全上下文中设置<global-method-security>。

Spring Security / AspectJ切入点

1 个答案: