用户更新自己的记录，能够评论其他记录

Question

我对要求有点困惑。我想要一个经验丰富的意见。

我有一个Spring Security，Struts 2应用程序。它使用不同的用户角色来实现安全性，例如ROLE_USER，ROLE_ADMIN和ROLE_SUBADMIN。用户和子管理员输入产品信息。我有一个菜单选项User Profile，用户可以看到自己的记录。 ROLE_USER应该只能编辑他/她自己的产品，而ROLE_SUBADMIN应该能够编辑任何产品。任何用户（ROLE_USER或ROLE_SUBADMIN）都应该能够对任何产品发表评论。

实现这一目标的最佳方法是什么？

1. Spring安全性ACL
2. 使用产品信息在数据库中存储用户ID，然后使用搜索查询显示记录并根据角色限制用户。

处理此类情况的常见做法是什么？

提前感谢您的专家评论。

Answer 1

如果您已经使用Spring Security，则选项1）更适合此。如果没有使用Spring Security，那么它就不再是这个问题的主题了。你说你已经在使用它了。您仍然必须实现ACL或选择已实现ACL的其他解决方案。但是，如果您在实施选项2）时不会增加您的要求，我非常怀疑，并且问题本身含糊不清，则选项2）更快更容易实现。