java - Spring Security ACL - 具有 READ 权限的用户可以撤销自己的访问权限吗？

Question

我们在域对象上使用 Spring ACL。我有一个用例，可以向用户授予对对象的读取权限，但我们希望这些用户也能够撤销自己的权限(即删除他们自己的、且仅删除他们自己对对象的授权)。

我一直在看 Spring Run-As文档。这是最好的选择吗？目前，当我在 Acl 实现中调用 deleteAce 方法(使用默认的 AclImpl 实现)时，我陷入了需要管理员权限才能进行此更改的 AclAuthorizationStrategy 安全检查。

Answer 1

您应该遵循的路径是实现您自己的 org.springframework.security.acls.domain.AclAuthorizationStrategy满足您要求的策略。然后将您的实现注入(inject) org.springframework.security.acls.domain.AclImpl或您使用的任何 ACL 实现。