grails - 带有Spring Security Core的Grails仅允许所有者在GSP中进行更新

Question

This question有一些代码可以添加到 Controller 闭包中，这很好，但是如果我要使用grails默认的脚手架 View ，但是如果用户是管理员或域对象归所有者所有，则仅显示编辑/更新按钮怎么办？用户？ Reading the documentation，我试过了:

<sec:access expression="hasRole('ROLE_MANAGER') || (projectInstance.owner == springSecurityService.currentUser)">
   <span class="button"><g:actionSubmit class="save" action="update" value="${message(code: 'default.button.update.label', default: 'Update')}" /></span>
</sec:access>

但是访问类似乎不允许使用OR:

Error processing GroovyPageView: Error executing tag <g:form>: Error executing tag <sec:access>: Cannot handle (124) '|' 

有人做过类似的事情吗？

Answer 1

我认为那将是愚蠢的。更好的方法是在 Controller 中执行以下操作:

 def edit = {
    def projectInstance = Project.get(params.id)
    def managerOrAdmin = SpringSecurityUtils.ifAnyGranted('ROLE_ADMIN,ROLE_MANAGER')
    def editable = (projectInstance.owner == springSecurityService.currentUser
                   || managerOrAdmin)
    if (!projectInstance) {
        flash.message = "${message(code: 'default.not.found.message', args: [message(code: 'project.label', default: 'Project'), params.id])}"
        redirect(action: "list")
    }
    else {
        return [projectInstance: projectInstance, editable:editable]
    }
}

然后在gsp中

<g:if test="${editable}">
  <span class="button"><g:actionSubmit class="save" action="update" value="${message(code: 'default.button.update.label', default: 'Update')}" /></span>
</g:if>

如果我们遵循“ View 应在MVC中尽可能少地执行处理逻辑”的良好编程原则，这是有道理的