java - Spring Security 3.2 在用户之间分离数据

Question

Spring Security - Web 应用程序

有两个具有相同权限的用户用户A用户B

和两个事件对象

class Event {
objectId owner;
...
}

event1 所有者设置为 userAevent2 所有者设置为 userB登录用户可访问@

http://service/event1
http://service/event2

什么是保护 Web 应用程序安全的最佳方法，以便 userA 只能看到

http://service/event1

但不是

http://service/event2

(其他用户则相反)

目前我已经在 Controller 级别实现了解决方案，该解决方案正在获取用户的事件列表，执行检查并重定向到适当的位置。我不喜欢它。

Answer 1

您可以检查事件的所有者 ID 是否与当前经过身份验证的主体 ID 匹配。请参阅Obtaining information about the current user .

然后，您可以设置一个 URL 模式访问规则来对事件 URL (/event*) 执行此检查。请参阅Expression-Based Access Control .