java - spring-hibernate服务/dao安全设计查询

Question

我正在尝试创建各种服务，例如:

UserService
UserPermissionService
AddressBookService

它将访问 dao，例如:

UserDao
UserPermissionDao
AddressBookDao
CompanyDao

这些将使用 Spring-Hibernate 堆栈并打包在多个 Web 应用程序的后端 jar 中。我希望服务功能可用取决于调用用户对象的权限。此外，调用者(用户)对象将拥有调用者用户的权限。

查询:我是否应该将 Caller 传递给每个 Service 方法调用，然后检查其权限？或者是否有更好的方法使用“Spring/AOP”和/或“工厂模式”，其中调用者对象可用于服务方法。

Answer 1

这种情况的模式之一是将安全 token 存储在 ThreadLocal 中，并首先在服务方法中要求该 token 的相应权限。