grails - 有没有一种方法可以在Spring Security插件的属性文件中定义角色，而不是对其进行硬编码？

Question

我正在使用LDAP插件和Spring Security插件。 LDAP插件获取已登录用户所属的组。我的应用程序有两个角色admin和normal。与其使用硬编码角色，我不希望通过属性文件来配置它们。这样，而不是写

@Secured(["ROLE_ADMINS"])

我可以写一些像

@Secured(["role.admins"])

其中 role.admins=ROLE_ADMINS在配置文件中。

这样，我可以获取相同的WAR文件，并将其部署到多个客户端，每个客户端都有自己的标准化方法来配置ActiveDirectory中的组名。

Answer 1

您可以使它正常工作，但是我认为有更好的选择。该注释当前有点僵化，仅支持以ROLE_，3个特殊标记IS_AUTHENTICATED_FULLY，IS_AUTHENTICATED_REMEMBERED或IS_AUTHENTICATED_ANONYMOUSLY以及SpEL表达式开头的角色。但是您可以从SpEL表达式中调用Spring bean，因此您应该考虑在服务中调用方法并在其中进行工作。语法将使用@符号:

@Secured('@myService.doTheAdminChecks()')

而且该实现可能非常复杂，并且可以从 Config.groovy和/或属性文件中读取信息，但是带注释的代码不会因安全性问题而混乱。

另一种选择是在注释中使用闭包。这是一个新功能，在 @Secured part of the What's New section中进行了描述。