java - Spring Web MVC 管理区域安全

Question

我正在尝试对管理区域实现安全性，只有网站的管理员才能访问该区域，而普通用户则无法访问。

为此目的。我创建了包含类对象的 session 。这是代码

用户.java

public class Users
{
    private int userID;
    private String username;
    ..
    ..
    private String userType;

    // getters and setters
}

在变量 userType 中，它将出现 admin 或 user。现在User类的对象将被存储在 session 变量中。

每当我访问

http://localhost:8080/myproject/admin

然后我检查

if(((Users)session.getAttribute("session_user")).getUsetType().equals("admin"))
{
     // Visit admin home page
}

这足以防止普通/顽皮用户访问管理区域吗？如果没有，我还能做什么？

Answer 1

这不是一个很好的解决方案，我建议您查看 Spring security documentaion .有几种方法可以限制网址，例如可以使用

<http use-expressions="true">
    <intercept-url pattern="/admin*"
        access="hasRole('admin') />
    ...
  </http>

限制您的 http://localhost:8080/myproject/admin网址