java - Spring security 3.2 - @PostAuthorize 表达式根据方法的返回对象评估主体

Question

我使用 spring security 来保护和评估@PostAuthorize 和@PreAuthorize 注释中的表达式以授权服务方法。我有一个要求，需要检查返回的对象是否具有已登录系统并正在调用此方法的相同用户标识。

// this allows the ids of other users too
@PostAuthorize("#returnObject!=null?returnObject.userId==principal.account.acid:true")
public AudioClip findAudioClip(int clipId) {
     .....
     AudioClip clip = dao.findById(clipId);
     // may also be null
     return clip;
}

音频剪辑.java

@Component
public class AudioClip implements java.io.Serializable {

private java.math.BigDecimal id;
private java.lang.Integer    userId;
.....
}

从数据库中获取的对象包含创建此数据库对象的用户 ID。因此，只有他有资格访问该组件。如何比较returnObject.userId和已经登录系统的userid？

Answer 1

@holmis，正如您所指出的，罪魁祸首是代码中的#!这段代码

@PostAuthorize("returnObject!=null?returnObject.userId==principal.account.aid:true")

有效!