java - Spring security 重叠 URL 范围

Question

我不知道如何配置 spring security 来为重叠的 URL 指定不同的 ROLE。

<sec:intercept-url pattern="/app/ws**" access="ROLE_WEBSERVICE"/>
<sec:intercept-url pattern="/app**" access="ROLE_ADMIN"/>

我需要接受/app/ws** 上具有 ROLE_WEBSERVICE 角色的用户，即使该用户没有 ROLE_ADMIN 用户。

你能指出我正确的文档位置吗？我找不到。谢谢。

Answer 1

如果您切换到表达式规则而不是普通的 RoleVoter，您将获得更大的灵 active ，例如

<http use-expressions="true">
    ...
    <intercept-url pattern="/app/ws**" access="hasRole('ROLE_WEBSERVICE') and hasRole('ROLE_ADMIN')"/>
    <intercept-url pattern="/app**" access="hasRole('ROLE_ADMIN')"/>
    ...