Spring Security XML配置

Question

有没有办法与“访问”相反？像“否认”这样的东西。

<intercept-url pattern="/nexthome/logout" access="ROLE_USER,ROLE_ADMIN" />

如果没有，我能以某种方式做到吗？ 例如：

<intercept-url pattern="/nexthome/logout" access="ROLE_USER,ROLE_ADMIN" deny="ROLE_DENY" />

在这种情况下，如果用户有ROLE_DENY，我希望他不会看到/ nexthome / logout

Answer 1

启用表达式：

<http use-expressions="true">

如果 USER 或 ADMIN ，则允许，但如果 DENY 则不允许。

<intercept-url pattern="/nexthome/logout" access="(hasRole('USER') or hasRole('ADMIN')) and !hasRole('DENY')">