grails - Grails 2 rc3 中的安全操作

Question

在 Config.groovy 中，我决定保护与编辑内容有关的所有操作，如下所示:

grails.plugins.springsecurity.interceptUrlMap = [
        '/admin/**' : ['ROLE_ADMIN', 'IS_AUTHENTICATED_FULLY'],

        '/*/create/**' : ['ROLE_ADMIN', 'IS_AUTHENTICATED_FULLY'],
        '/*/save/**' : ['ROLE_ADMIN', 'IS_AUTHENTICATED_FULLY'],
        '/*/update/**' : ['ROLE_ADMIN', 'IS_AUTHENTICATED_FULLY'],
        '/*/edit/**' : ['ROLE_ADMIN', 'IS_AUTHENTICATED_FULLY'],

        '/contactUs/create/new_message.html' : ['IS_AUTHENTICATED_ANONYMOUSLY'],
        '/**':               ['IS_AUTHENTICATED_ANONYMOUSLY']


]

... 只是想知道这是否足够，或者我是在自找麻烦吗？或者有什么更好/正确的方法来保护所有 Controller 中的所有“创建、保存、更新、编辑”操作？提前致谢。

Answer 1

只是两个想法......

• 删除对象呢？我想有了这个配置，每个人都可以匿名删除
• 这让我想到了我的第二点:您使用黑名单实现安全性(哪些 Controller 和操作在未经身份验证的情况下不应访问)，但您应该通过白名单实现安全性(哪些 Controller 和操作是未经身份验证即可访问)。第二种方法可以避免“删除”问题。

PS:我用的是shiro，所以我没有spring security的经验，也不知道如何将 Controller 和 Action 列入白名单。