Java 和 Spring MVC 社交艺术分享网站的设计和架构

Question

我想练习使用 Spring MVC 在 Java 中构建应用程序。我对设计和实现我的想法有一些疑问。

这是我正在尝试开发的内容，下面您将找到我的设计问题。

A user navigates to a website that hosts artwork (html5 canvases) And has the ability to use it as a guest. The guest or a logged in user can search other people's artwork. The site allows for the end user to be able to create artwork and share it with the world by publishing it and generating a permanent URL for the resource. Anyone can access the artwork unless it has user/password protection that the author of the artwork can decide if needed. Only the author of the artwork should be allowed to edit his artwork. Users will be able to comment under images that belong to them or other users. Guests need to be members to make comments on other people's artwork or creating their own images and permanent urls.

问题:

我在网络开发方面的经验非常有限。我只是一个数据库老手。 :-(所以，如果这些问题像菜鸟一样，我深表歉意。我了解一些 spring 和 Java。

1).我应该有两种模板页面吗？每个用户的艺术作品页面，一个供作者使用，一个供其他用户/访客使用？不确定其他流行应用程序中如何处理此问题。

2).我应该如何通过 Spring Security 来管理这个问题。每个用户只能编辑自己的作品页面，而不能编辑其他人的作品页面。在文档中，我只看到 ROLE_USER/ROLE_ADMIN 的示例。这对于我的需求来说似乎太基本了。不知道从哪里开始并将其适合我涉及协作的用例。任何介绍此类设计的教程都会非常有帮助。

提前谢谢您。

Answer 1

不同的模板？

您可以使用相同的模板来显示作者和访客的 View ，并根据当前用户对该页面图稿的权限修改页面上的某些元素。如果不同的 View 完全不同，那么您只会创建两个单独的页面，并且使页面动态化更麻烦，更不值得。

Spring Security 授权

Spring Security 处理身份验证(当前用户是谁？)和授权(当前用户是否允许执行此操作？)。在这里，我们谈论的是authorization 。

您可以通过多种方式使用 Spring Security 进行授权。一种方法是使用一系列投票者策略来决定是否允许用户执行操作 ( AccessDecisionManager )。另一个是成熟的ACL implementation您可以在其中维护一组表，这些表描述一个人对您要锁定的每个资源的访问权限。从 ACL 中读取数据非常简单，但维护这些表的责任在于您。每次权限更改或创建安全对象时，您都必须插入或更新 ACL。向下滚动here查看示例。

建议:保持简单

我最近使用 Spring Security 评估了不同的授权方法，并决定自己使用用户的主体，并访问数据库以查看用户是否具有对资源的权限。 Spring Security 很复杂，如果您在站点上线后在 ACL 管理代码中引入了错误，那么祝您顺利找到它。该错误仅存在于那些修改了 ACL 的特定记录中。

我会保持简单。使用以下方法创建 SecurityManager:

public boolean canViewArtwork(String userPrincipal, Long artworkId);
public boolean canEditArtwork(String userPrincipal, Long artworkId);

然后，当需要进行安全检查时，调用这些方法。这是一种您可以离开并稍后返回并理解的代码。

使用权限，而不是角色

请注意，SecurityManager 正在检查权限，而不是角色。项目始终以两个角色开始:“用户”和“管理员”。沿着这条路，这些界限总是开始变得模糊，最终你会发现条件语句到处都是。您最初仍然可以在系统中拥有这两个角色，但 SecurityManager 将是唯一处理它们的地方。如果您最终添加了第三个角色 - 没问题，只需更改您的 SecurityManager。