java - 在 Spring Security 中与 hasPermission 一起使用时，权限参数是否区分大小写？

Question

下面两行的行为是否相同？

@PreAuthorize("hasPermission(#task, 'MANAGER')

@PreAuthorize("hasPermission(#task, 'manager')

此外，权限常量在 CustomPermission.java 中定义如下

 public static final Permission MANAGER    = new CustomPermission(1<<7,'M');

Answer 1

权限参数是否区分大小写？嗯，是的，也不是。如果权限是大写的String并且您输入小写的权限，它将起作用。但相反的情况则不会。

我检查了Spring的源代码。 AclPermissionEvaluator 是PermissionEvaluator 的默认实现，它是处理hasPermission() 例程的接口(interface)。它首先尝试从原始给定的String 中查找权限。如果没有找到，它会再次尝试调用 toUpperCase()。

亲自看看:

if (permission instanceof String) {
    String permString = (String) permission;
    Permission p;

    try {
        p = permissionFactory.buildFromName(permString);
    }
    catch (IllegalArgumentException notfound) {
        p = permissionFactory.buildFromName(permString.toUpperCase());
    }

    if (p != null) {
        return Arrays.asList(p);
    }

}

<小时/>

引用:

https://github.com/spring-projects/spring-security/blob/7b4a37f27e4ba7045bd63656e49ee0d5ee381ce5/acl/src/main/java/org/springframework/security/acls/AclPermissionEvaluator.java