Question

我想在应用程序中进行动态安全性（春季启动，春季mvc，春季安全性，百里香叶）。

我想在我的Web应用程序页面中添加用户/管理员可以在其中添加一些新权限（仅名称）的页面。在另一页中，他将能够添加例如菜单中的新位置（或新字段或新标签）。并且，当他添加此新项目时，他应该可以选择用户必须具有哪些权限才能看到此新菜单位置（对于字段，将具有一个查看权限，一个用于编辑权限）。

您有解决办法如何做这样的事情吗？我曾经考虑过在春季安全性中使用ALC，但我现在不是一个好的选择。

也许有一种使用@PreAuthorize("hasRole()")的方法吗？或在添加用户添加的所有主题时添加“组件”表之类的内容。在此表中，将有“编辑权限”和“查看权限”之类的列，我将在其中放置ID的权限，并在所有获取菜单项，字段..

的方法中检查此表

也许这将是蜜蜂自己实现PermissionEvaluator的好的解决方案？

Answer 1

我认为您需要使用数据库中的权限表创建 角色枚举 。

角色枚举

public enum Roles {
   Admin,
   Pm,
   TeamLead,
   User,
   ...
}

权限表

| ID | ROLE | | 1 | Admin | | 2 | Admin | | 3 | Admin | | 4 | Admin | | 5 | Admin | | 6 | Pm | 7 | Pm | 8 | Pm | | 9 | Pm | | 10 | Pm | | 11 | TeamLead | | 12 | TeamLead | | 13 | TeamLead | | 14 | TeamLead | | 15 | TeamLead | | 16 | User | | 17 | User | | 18 | User | | 19 | User | | 20 | User | WORKSPACE | READ | WRITE | DELETE |Dashbord | TRUE | TRUE | TRUE | Employee | TRUE | TRUE | TRUE |
Project | TRUE | TRUE | TRUE |
Task | TRUE | TRUE | TRUE |
Team | TRUE | TRUE | TRUE |
| Dashbord | TRUE | FALSE | FALSE |
| Employee | TRUE | FALSE | FALSE |
Project | TRUE | TRUE | TRUE |
Task | TRUE | TRUE | TRUE |
Team | TRUE | FALSE | FALSE |
Dashbord | TRUE | FALSE | FALSE |
Employee | TRUE | TRUE | TRUE |
Project | TRUE | FALSE | FALSE |
Task | TRUE | FALSE | FALSE |
Team | TRUE | TRUE | TRUE |
Dashbord | FALSE | FALSE | FALSE |
Employee | TRUE | FALSE | FALSE |
Project | TRUE | FALSE | FALSE |
Task | TRUE | TRUE | FALSE |
Team | TRUE | FALSE | FALSE |

您在数据库中的用户表必须添加 userRole 列

@Basic
  @Enumerated(EnumType.STRING)
  private Roles userRole;

创建自定义注释界面，以角色权限检查当前用户
@Retention（RetentionPolicy.RUNTIME）公共@interface权限检查 {
```
String[] workspace() default {};

boolean read() default false;

boolean write() default false;

boolean delete() default false; }
```

@Aspect @Component公共类PermissionAspect {
@Autowired
private PermissionRepository permissionRepository;

@Around("execution(@com.security.annotation.springbootsecuritypermission
.aspect.PermissionCheck * *（..））&& @annotation（permissionCheck）“）公共对象doSomething（ProceedingJoinPoint pjp，PermissionCheck> permissionCheck）抛出Throwable { if（permissionCheck.workspace（）。length> 0 && SecurityUtil.getUser（）！= null）{ 列表PermissionList = PermissionRepository.findByRolesAndWorkspaceIn（ SecurityUtil.getUser（）。getRoles（），permissionCheck.workspace（））;
       Function<PermissionEntity,Boolean> permissionFunction = new Function<PermissionEntity, Boolean>() {
           @Override
           public Boolean apply(PermissionEntity permissionEntity) {
               if(permissionCheck.read() && permissionEntity.getRead()) {
                   return true;
               }
               if(permissionCheck.write() && permissionEntity.getWrite()) {
                   return true;
               }
               if(permissionCheck.delete() && permissionEntity.getDelete()) {
                   return true;
               }
               return false;
           }
       };

       final boolean[] hasPermission = {false};
       permissionList.forEach(permissionEntity -> {
           hasPermission[0] = permissionFunction.apply(permissionEntity);
           if(hasPermission[0]){
               return;
           }
       });

        if(!hasPermission[0]){
            throw new AccessDeniedException("Do not has permission");
        }

    }
    return pjp.proceed();
} }

您可以在方法上使用自定义注释


@GetMapping（“ dashboard”）@PermissionCheck（workspace =   {Workspace.DASHBOARD}，read = true）公共字符串dashboard（）{
  返回“仪表盘”； }

如果不太了解我，则可以打开此链接https://github.com/Dilsh0d/spring-boot-security-permission。

如何在Web应用程序中构建良好的安全性体系结构？

1 个答案: