Spring Security 访问因缺少角色而被拒绝记录

Question

对于 Spring Security 中的访问被拒绝登录，是否有开箱即用的解决方案。我想要的基本上是显示当用户收到访问被拒绝异常时缺少哪个角色。

如果没有，我必须走上拥有自己的 accesssDeniedHandler 的道路，如何访问在抛出访问拒绝异常的 Controller 上配置的角色。

谢谢!

Answer 1

不，不存在开箱即用的“缺失角色”概念。

访问被拒绝事件通过 Spring 的标准事件机制发布，您可以使用 ApplicationListener 来订阅这些事件，但不能假设访问决策纯粹基于 Spring Security 中的角色。为此，您需要自定义 AccessDecisionManager 实现来记录有关它如何得出特定决策的信息。

AccessDeniedHandler 在这种情况下并不真正相关。