Spring Security全局方法安全位置

Question

我在主webappcontext配置文件中定义了功能。此文件还包含扫描除控制器类之外的所有包的元素。单独的dispatcher-servlet上下文文件扫描控制器包。如果我在为请求提供服务的控制器方法上应用方法级安全性，则它不起作用。它只有在我在dispatcher-servlet中明确提到该元素时才有效。

从我在此论坛上的早期问题中，我了解到dispatcher-servlet上下文是主要webapp上下文的子代。在这种情况下，dispatcher-servlet应该从父权限中拾取该元素吗？

Answer 1

见Spring Security FAQ（强调我的）。如果您将切入点应用于服务图层，则只需在应用的安全上下文中设置<global-method-security>。

  

在Spring Web应用程序中，持有的应用程序上下文   调度程序servlet的Spring MVC bean通常是独立的   主要应用背景。它通常在一个名为的文件中定义   myapp-servlet.xml，其中“myapp”是分配给Spring的名称   web.xml中的DispatcherServlet。一个应用程序可以有多个   DispatcherServlets，每个都有自己独立的应用程序上下文。   这些“子”环境中的bean对于其余部分是不可见的   应用。 “父”应用程序上下文由   您在web.xml中定义的ContextLoaderListener，对所有人都可见   孩子的背景。此父上下文通常是您定义的位置   您的安全配置，包括   元件）。因此，任何安全约束都应用于方法中   由于无法看到bean，因此不会强制执行这些Web Bean   来自DispatcherServlet上下文。你需要移动    声明到Web上下文或移动了   您想要保护到主应用程序上下文中的bean。

     

通常我们建议在服务中应用方法安全性   层而不是单个Web控制器。