Spring MVC，方法级安全

Question

我正在尝试根据用户角色限制对我的 Controller 的访问。现在我可以通过以下方式使用 security.xml 文件来做到这一点

<http use-expressions="true">
     <intercept-url pattern="/**" access="hasRole([ROLE_ADMIN,ROLE_USER])" />
</http>

但我不想这样做。而我会写

<http use-expressions="true">
     <intercept-url pattern="/**" access="isAuthenticated()"/>
</http>

在 Controller 中

@RequestMapping("/test")
@PreAuthorize("hasRole('ROLE_USER')")
public String test() {
    return "test";
}

@RequestMapping("/testadmin")
@PreAuthorize("hasRole('ROLE_ADMIN')")
public String testAdminPage() {
    return "testadmin";
}

现在 ROLE_USER 可以访问两个 (ROLE_ADMIN & ROLE_ USER) 标记的 Controller 。这就是问题。并且基于此 testadmin.jsp 只能被 ROLE_ADMIN 类型的用户查看并且 test.jsp 只能被“ROLE_USER”类型的用户查看。

总而言之，我不想在 xml 文件中编写访问代码，而是想从 Controller 控制它。

我该怎么做？

Answer 1

您必须通过

启用方法级安全性

<global-method-security pre-post-annotations="enabled"/>

然后你的 spring Controller 将被代理并且 PreAuthorize注释将被评估。

可以在此处找到更多信息(第 16.3 节):

http://docs.spring.io/spring-security/site/docs/current/reference/el-access.html

编辑:

我猜你的Controller Bean 正在 Disptacher Servlet(Web 上下文)中创建，您的安全配置位于根上下文中 -> Controller 将不受 BeanPostProcessor 的影响。所以你必须把<global-method-security> Web 上下文配置中的标记(dispatcher-servlet.xml？)