spring-mvc - Spring 安全 : allow user only to access their own administration page

Question

在我的网络应用程序中，用户可以更改他们的用户详细信息。此页面的 URL 是:

springproject/usermanagement/edituserinfo/4

其中“4”是用户 ID。

我的安全上下文看起来像:

<security:http auto-config="true" use-expressions="true">
    <security:intercept-url pattern="/usermanagement" access="isAuthenticated()" />
    <security:intercept-url pattern="/usermanagement/new" access="hasRole('ROLE_ADMIN')" />
    <security:intercept-url pattern="/usermanagement/edit/*" access="hasRole('ROLE_ADMIN')" />
    <security:intercept-url pattern="/usermanagement/edituserinfo/*" access="isAuthenticated()" />  
</security:http>

如何限制用户只能访问他们自己的“edituserinfo”页面？例如。用户 ID 为 1 的用户只能访问:“springproject/usermanagement/edituserinfo/1”而不是“springproject/usermanagement/edituserinfo/4”

Answer 1

您还可以使用支持表达式的 Spring Security 的 @PreAuthorize 来完成此操作:

@PreAuthorize("#userId == principal.id")
public void doSomething(@PathVariable String userId);

请参阅 Spring 文档:

Access Control using @PreAuthorize and @PostAuthorize