java - Web 应用程序中的授权

Question

我期待在我的一个项目中实现授权。我发现的选项之一是基于 URL、METHOD 的 Spring Security。这允许基于角色的控制。但是，如果具有 VIEW 角色的用户可以查看所有资源但无法编辑任何资源，那又怎么样呢？是否有任何现有框架可以提供这种粒度？ ，以便通过角色可以应用各种资源的权限。

谢谢

Answer 1

尝试以下解决方案。

<intercept-url pattern="/api/resource/employee/**"
        access="hasAnyRole('MANAGER','EMPLOYEE','HR')"
        method="GET" />
<intercept-url pattern="/api/resource/employee/**"
        access="hasAnyRole('MANAGER','HR')" method="POST" />