grails - 为什么用户使用 Spring Security 和 Grails 进行更新而不调用 save()？

Question

概述:

• User、UserRole 和 Role 几乎是标准模型Grails 中的 SpringSecurity 插件
• 我(在 Controller 中)确保的一件事是每个用户只有 1 个角色
• 在我的 Bootstrap 中创建了 3 个角色:管理员、经理和用户
  • 管理员可以执行所有操作
  • 管理员可以更新其他管理员和用户的信息
  • 用户只能更新自己(但不能更新角色)

在我的 Controller 中，我使用注释来通常控制大部分安全性，但对于更新和保存操作，我添加了用于更高级检查的逻辑:

@Transactional
def update(User userInstance) {
    User currentUser = User.get(springSecurityService.currentUser?.id)
    Role currentRole = currentUser.getAuthorities().getAt(0)    // There is only 1 role per user, so give the first

    Role roleInstance = Role.get(params['role.id'])

    // SECURITY LOGIC -> Move to service
    if (currentRole.authority.equals("ROLE_USER")) {

        if (userInstance != currentUser || !roleInstance.authority.equals("ROLE_USER")) {
            notAllowed(userInstance)
            return
        }
    } else if (currentRole.authority.equals('ROLE_MANAGER')) {
        ...
    }
    ...
    // REST OF CODE - User is saved here
}

现在我遇到了一个奇怪的问题。如果我以 ROLE_USER 身份登录并更新 ROLE_ADMIN，我会收到 notAllowed 错误消息，并且该操作会立即返回，因此它不会继续到实际保存用户的代码的其余部分。

如果我查看管理员，它实际上已经更新(持续)。为什么会出现这种情况，因为它从未调用过 save() ？

谢谢!

Answer 1

这与 Spring Security 无关 - 这只是在使用插件使用的域类时发生的巧合。

默认情况下，Grails 使用“在 View 中打开 session ”模式，这在使用 Hibernate 时很常见。在每个请求开始时，都会创建一个 Hibernate Session 并将其存储在 ThreadLocal 中，并且持久性代码会使用它(如果可用)，并且在请求结束时刷新并关闭 session 。

这在处理延迟加载的实例和集合时特别有用。如果没有可用的现有 Hibernate session ，持久性代码会创建一个 session 并使用它从数据库中检索实例，但由于它创建了 session ，因此会在查询完成后将其关闭。这会使实例与任何 session 断开连接，并且没有自动重新附加逻辑，因此如果您在对象断开连接后尝试访问未初始化的延迟加载实例或集合，则会出现异常。但是，如果已经有一个打开的 session ，则持久性代码会使用它但不会关闭它，因此会附加加载的实例并且延迟加载将起作用。

您所看到的是 Hibernate 检测到持久实例已被修改，默认情况下，当 session 关闭时，它将检测到更改并帮助您将它们刷新到数据库。无论是否调用 save() 都会发生这种情况，因此实际上，您通常需要调用 save() 的唯一时间是在插入新实例时。

您可以在 View 支持中禁用打开 session ，但这样做会损失很多，而且一般来说这不是一个好主意。您还可以自定义它的工作方式、刷新发生时间等。但一般来说，您应该断开不希望自动刷新的附加实例。有一个 GORM 方法可以做到这一点 - discard() - 如果您在修改后的实例上调用它，当刷新发生时 Hibernate 将不会意识到它并且不会保存任何内容。

不相关 - 此行

User currentUser = User.get(springSecurityService.currentUser?.id)

应该是

User currentUser = springSecurityService.currentUser

因为 getCurrentUser() 方法使用安全身份验证中的缓存 ID 从数据库检索 User 实例。您正在使用该 User 实例来获取其 id，然后将其丢弃，并使用该 id 再次加载相同的 User。