我想将Jersey的DeclarativeLinking功能与RolesAllowed功能结合起来。
我能够成功地将链接注入到响应中,但该注入不会关注该端点的RolesAllowed注释。
举个例子,想象两个用户。称他们为管理员和用户。两者都可以访问GET资源,但只有管理员可以访问DELETE。
如果资源方法受@RolesAllowed保护,那么我希望没有该角色的用户不会注入该端点。情况似乎并非如此。
我已按照找到的here示例。
以下是我为了说明目的而正在进行的项目的简化版本。
对于管理员,我希望以下json,
{
"id" : 1
"value" : "someValue",
"links" : [
{
"href": "http://localhost/context/model/1",
"rel": "self",
"type": "GET"
},
{
"href": "http://localhost/context/model/1",
"rel": "delete",
"type": "DELETE"
},
},
}
这正是我得到的。不幸的是,我也为没有访问该端点所需的正确角色的用户获得此响应。仍将为用户提供指向删除端点的链接,但由于RolesAllowed,该用户将收到403。
模型
public class Model {
private int id;
private String value;
//constructor/getters/setters
模型表示
public class ModelRep {
@XmlPath(".") //Allows me to flatten json so that links and document are at the same level
private Model model;
@InjectLinks({
@InjectLink(
rel = "self",
type = "GET",
resource = ModelResource.class,
method = "getModel",
bindings = @Binding(name = "id", value = "${instance.id}"),
style = Style.ABSOLUTE
),
@InjectLink(
rel = "delete",
type = "DELETE",
resource = ModelResource.class,
method = "deleteModel",
bindings = @Binding(name = "id", value = "${instance.id}"),
style = Style.ABSOLUTE
)
})
@XmlJavaTypeAdapter(LinkAdapter.class)
private List<Link> links;
//constructor/getters/setters
模型资源
@Path("/model")
@Produces(MediaType.APPLICATION_JSON)
public class ModelResource {
@GET
@Path("/{id}")
public Response getModel(@PathParam("id") int id) {
Model m = dao.get(id);
ModelRep mr = new modelRep(m);
GenericEntity<ModelRep> ent = new GenericEntity<ModelRep>(mr) {};
return Response.status(Status.OK).entity(ent);
}
@DELETE
@Path("/{id}")
@RolesAllowed(Roles.ADMIN)
public Response deleteModel(@PathParam("id") int id) {
dao.delete(id);
return Response.status(Status.NO_CONTENT);
}
问题 是否有某种方法可以基于RolesAllowed实现条件声明性链接?
我知道InjectLink注释存在一个条件子句,但允许的值是实例(ModelRep),实体(我认为是响应对象?),资源(ModelResource)。
我不知道如何使用其中任何一种来检查权限。
非常感谢任何建议
答案 0 :(得分:2)
所以我最终找到了一个有点hacky但工作得很好的解决方案。
每个资源都扩展了一个基础资源分类
@Path("/model")
@Produces(MediaType.APPLICATION_JSON)
public class ModelResource extends BaseResource {
BaseResource定义一个公共方法,该方法返回当前资源的特定方法是否受RolesAllowed注释的限制。
public abstract class BaseResource {
@Context
private SecurityContext security;
public boolean isMethodRoleProtected(String sMethod) {
Method[] methods = this.getClass().getDeclaredMethods();
for (Method m : methods) {
if (m.getName().equalsIgnoreCase(sMethod)) {
Annotation[] annotations = m.getAnnotations();
for (Annotation a : annotations) {
if (a instanceof RolesAllowed) {
String[] roles = ((RolesAllowed) a).value;
return userHasRole(roles);
}
}
}
}
return false;
}
protected boolean userHasRole(String... roles) {
for (String role : roles) {
if (security.isUserInRole(role)) {
return true;
}
}
return false;
}
}
最后,InjectLink注释将如下所示,
@InjectLink(
rel = "self",
type = "GET",
resource = SomeResource.class,
method = "someMethod",
bindings = @Binding(name = "id", value = "${instance.id}"),
style = Style.ABSOLUTE,
condition = "${resource.isMethodRoleProtected(someMethod)}"
),
&#39;资源&#39;是扩展BaseResource的当前端点类的实例。因此,只有当前用户具有该方法的RolesAllowed注释中存在的角色时,才会注入此链接。
此解决方案需要实现SecurityContext。
如果其他人有更好/更清洁的解决方案或改进我找到的方法,我仍然喜欢听,并会相应调整接受的答案。干杯