model-view-controller - Spring MVC 自定义身份验证

Question

我想要完成的是一个过滤器(或类似的)，它将为我的 Spring MVC 应用程序处理身份验证模型。我的应用程序也托管在 Google App Engine 上。

此应用程序上的身份验证往往是非常动态的，并且权限不是完全适合预定义角色结构的东西。这些权限将与我的 Controller 上的不同操作方法相关联。理想情况下，我希望能够注释这些权限，但我愿意接受其他建议。

我发现关于如何实现这一点的信息并不多。理想情况下，我希望能够拦截对我的 Controller 操作的调用，并能够读取注释并进行相应处理。我希望这里有人对 Spring MVC 有更多的了解，并且我可以在其中注入(inject)一些自定义代码，并且能够为我指明正确的方向。

Answer 1

我仍然会使用 Spring Security 来做到这一点。它可能没有一个 100% 适合您的登录方案的类，但这就是继承的用途。写你自己的。您可以轻松摆脱基于角色的 DecisionManager 并使其适合您的范例。

根据您的评论，您是否检查过 Spring 中的 MethodInterceptor？它创建一个代理，它将拦截对代理类上任何方法的调用，并允许您根据所需的任何代码运行或禁止该方法。在 Spring Security 中有一个 AbstractSecurityInterceptor，但我发现它很难使用，而且对于大多数访问决策，我认为它是矫枉过正的。

因此，我将使用 Spring Security 对用户进行身份验证(并填充 SecurityContext)，然后使用拦截器来隔离对您想要保护的 Controller 中的方法的访问。