spring - 如何在 Spring Security 3 和 Spring EL 中使用角色层次结构？

Question

我想在 Spring Security 的服务方法上使用 @PreAuthorize 注释。要求之一是使用角色层次结构。但默认情况下它是不启用的。

我发现在 SecurityExpressionRoot class(“表达式根对象的基类”)有一个属性roleHierarchy。该类实际上确实将此属性用于 hasRole() 和 hasAnyRole() 等方法。

我想如果我自己提供 角色层次结构 bean 我将能够使用具有分层角色的@PreAuthorize 注释。

如何将我的层次结构 bean 注入(inject) SecurityExpressionRoot ?

Answer 1

对于方法安全，您可以设置 RoleHierarchy作为 DefaultMethodSecurityExpressionHandler 的属性(property)，像这样:

<global-method-security ...>
    <expression-handler ref = "methodSecurityExpressionHandler" />
</global-method-security>

<beans:bean id = "methodSecurityExpressionHandler" 
    class = "org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler">
    <beans:property name = "roleHierarchy" .../>
</beans:bean>