Java Spring 3.0.5 安全性 - 只读用户

Question

Spring 3.0.5 可以有只读用户吗？我知道您可以在类或方法上使用 @Secured 指定特定的授权用户，但是您能否列出无法运行方法的特定人员，而不是指定可以运行方法的每个人(假设必须对用户进行身份验证才能达到这一点)？我们希望确保特定用户不会意外运行会更改数据的方法，而不会让将来添加更多角色变得更加困难。如果有人知道另一种方法可以做到这一点，我洗耳恭听。谢谢。

Answer 1

我不知道有什么方法可以神奇地创建只读用户。但是，您可以创建一个角色，例如 ROLE_UPDATE，并通过 @Secured("ROLE_UPDATE") 保护所有执行创建/更新/删除的方法。然后，如果用户没有被授予ROLE_UPDATE权限，他们将无法调用任何“写入”方法，因此将被限制为只能调用“读取”方法。