java - 用户更新自己的记录，可以评论别人的记录

Question

我对一个要求有点困惑。我想要一个有经验的意见。

我有一个 Spring Security 和 Struts 2 应用程序。它使用不同的用户角色来确保安全，例如 ROLE_USER、ROLE_ADMIN 和 ROLE_SUBADMIN。用户和子管理员输入产品信息。我有一个菜单选项用户配置文件，用户可以在其中查看自己的记录。 ROLE_USER 应该只能编辑他/她自己的产品，而 ROLE_SUBADMIN 应该可以编辑任何产品。任何用户(ROLE_USER 或 ROLE_SUBADMIN)都应该能够对任何产品发表评论。

实现此目标的最佳方法是什么？

1. Spring 安全访问控制列表
2. 将用户的 ID 与产品信息一起存储在数据库中，然后使用搜索查询来显示记录并根据角色限制用户。

处理此类情况的常见做法是什么？

提前感谢您的专家意见。

Answer 1

如果您已经在使用 Spring Security，选项 1) 更适合于此。如果不使用 Spring Security 那么它就超出了这个问题的主题。你说你已经在使用它了。您仍然必须实现 ACL 或选择其他已经实现的解决方案。但是，如果在实现我非常怀疑的选项 2) 时您的要求没有增加，并且问题本身含糊不清，那么选项 2) 实现起来更快、更容易。