java - 向已通过身份验证的用户添加新角色(无需将其注销)

Question

我正在使用 Spring Security，在某些情况下，用户登录后可以执行一些操作，这应该可以让他访问某些资源，因此理想情况下应该通过为该用户提供新角色来完成。但是，org.springframework.security.core.userdetails.User 类中的权限是不可修改的 Set。因此，给定的角色列表中不允许进行任何更改。
在这种情况下，开发人员通常如何(我确定这是很常见的正常行为)？

Answer 1

一种有效的方法是查看您的角色并思考它们是否有意义。也许你需要有更多的角色，这样用户在登录后就可以做任何事情。我认为您可能需要“将您的角色分解成更小的部分”。

登录后不允许修改角色。而你并不打算这样做。这将对平台构成安全威胁。

我以普通用户身份进行身份验证。执行一些代码并成为管理员。

这就是我认为您应该重新登录的原因。

你做。