grails - 如何锁定 Grails spring-security-ui Controller ？

Question

我正在创建我的第一个 Grails 应用程序并使用 spring-security-core 和 spring-security-ui。我已经锁定了我在我的应用程序中创建的 Controller ，但是任何未经身份验证的用户都可以访问 spring-security-ui Controller 这一事实留下了一个巨大的漏洞。将这些 Controller 的访问权限限制为特定角色的正确方法是什么？

我正在考虑在每个 Controller 上运行 s2ui-override，然后在类级别实现安全注释。这是一个合理的方法吗？

Answer 1

对于spring-security和spring-security-ui等插件提供的 Controller ，我一般使用Config.groovy中的应用 Controller 注解和静态规则:

grails.plugins.springsecurity.controllerAnnotations.staticRules = [
    '/aclClass/**': ['ROLE_ADMIN'],
    '/aclSid/**': ['ROLE_ADMIN'],
    '/aclObjectIdentity/**': ['ROLE_ADMIN'],
    '/aclEntry/**': ['ROLE_ADMIN'],
    '/persistentLogin/**': ['ROLE_ADMIN'],
    '/requestmap/**': ['ROLE_ADMIN'],
    '/securityInfo/**': ['ROLE_ADMIN'],
    '/registrationCode/**': ['ROLE_ADMIN'],
    '/role/**': ['ROLE_ADMIN'],
    '/user/**': ['ROLE_ADMIN'],
    '/console/**': ['ROLE_ADMIN'],

    '/register/**': ['IS_AUTHENTICATED_ANONYMOUSLY']
]