java - 具有对象粒度的java安全框架

Question

我正在为具有对象粒度的 Java Web 应用程序寻找安全框架。

这意味着我不只是想按 url 或按角色进行过滤，而是按系统内域对象的特定用户所有权进行过滤。

例如，如果有一个 Message 对象，它有一个 Sender 用户和一个 Receiver 用户，我希望能够配置这样每条消息都可以由其发送者 RW 并由其接收者 RO。

或者，例如，所有用户个人资料都可供所有用户查看，但只能由所有者编辑。

这个规则，当然，我想用元数据(注释、xml 文件等)来定义它们，而不是嵌入到我的业务逻辑中。

有这样的野兽吗？最好开源。

Answer 1

Spring Security可以提供像method security and "secure objects"这样的东西使用 AOP。