java - 我可以阻止用户访问 Spring Security 中的某些内容的功能是什么

Question

我对 Spring Security 很陌生，我不知道如何搜索这种功能。我的问题是。我使用 spring security 对用户进行身份验证。让我们说基于表单的身份验证。用户已登录。他可以在应用程序中导航。假设我们有一个 Web 应用程序，它将事务存储在数据库中，并通过 id 检索它们。如果我们想查看交易详细信息，我们会发送带有交易 ID 的请求。例如/transaciontapp/gettransaction?id=134。在上一页中，应用程序仅加载属于该特定用户的交易。但现在我可以编辑任何 id 的链接，并且使用 get 方法，作为登录用户，我可以看到我不应该看到的交易。那么在 Spring Security 中，我该如何处理，以限制某些用户的某些内容？

Answer 1

我想建议您阅读official Spring Security Reference首先总体了解 Spring Security 是什么。

起点是将其添加到您的项目中，例如通过添加依赖项compile('org.springframework.boot:spring-boot-starter-security')来使用Gradle。下一步是为其创建一个配置类。这包含身份验证应如何为您的项目工作。

@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    // your rules
}

这些规则定义了如何处理诸如

之类的主题

• 技术上:例如HTTP 基本身份验证、基于 token 、基于 Cookie、基于表单
• 凭据存储在何处:内存中、自定义 UserDetailService 实现
• 为 HTTP 请求添加过滤器
• session 管理设置
• 不同路线的规则；保护什么，如何保护？匿名登录？角色？
• 跨站请求伪造或跨源请求策略等安全问题

在询问这样的基本问题之前，请阅读文档并查看许多其他有关 Spring Security 的 Stack Overflow 问题。