Group and acl on Spring Security

Question

Je souhaite utiliser Spring Security pour gérer les utilisateurs, les groupes et les autorisations. Je veux utiliser ACL pour sécuriser mes objets de domaine mais je ne trouve pas un moyen d'assigner un groupe à un acl. Par exemple: J'ai des utilisateurs et des groupes. Chaque groupe peut avoir les titres suivants: - gérer des forums (peut être un rôle comme ROLE_FORUM_MANAGER) - éditer un forum spécifique (acl sur le forum spécifique).

En outre, les groupes sont définis par les utilisateurs qui ont le rôle ROLE_PERMISSION_MANAGER. MAIS tous les groupes définis par cet utilisateur ne peuvent être édités et gérés que par cet utilisateur. Donc le groupe est attaché à un utilisateur. Exactement, imaginez que l'utilisateur crée un groupe google: cet utilisateur peut gérer des groupes de droits uniquement pour le groupe qu'il a créé. Et ainsi, il peut créer un groupe pour gérer un forum spécifique de son propre groupe google.

Comment puis-je le faire?

J'ai lu la documentation de sécurité du printemps et les tutoriels suivants (alors s'il vous plaît ne me renvoie pas à ces liens): http://grzegorzborkowski.blogspot.com/2008/10/spring-security-acl-very-basic-tutorial.html http://blog.denksoft.com/?page_id=20

Answer 1

Vérifiez Spring Security 3.0, vous pourriez être en mesure d'éviter l'utilisation du langage ACL en utilisant le langage d'expression Spring.

Par exemple, pour l'édition d'un forum, vous auriez une méthode sécurisée comme ceci:

@PreAuthorize("hasRole('ROLE_FORUM_MANAGER') and hasPermission(#forum,'update')) 
public void updateForum(Forum forum) { 
    //some implementation 
} 

Vous pouvez ensuite mettre en œuvre la méthode de hasPermission dans un évaluateur d'autorisation personnalisé, comme:

public class ForumPermissionEvaluator implements PermissionEvaluator { 

    public boolean hasPermission(Authentication authentication, 
      Object domainObject, Object permission) { 
     //implement 
    } 

    public boolean hasPermission(Authentication authentication, 
      Serializable targetId, String targetType, Object permission) { 
     //implement 
    } 
} 

Enfin, câbler ensemble dans la configuration de l'application:

<beans:bean id="expressionHandler" 
    class="org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler"> 
    <beans:property name="permissionEvaluator" ref="permissionEvaluator"/> 
</beans:bean> 

<beans:bean id="permissionEvaluator" 
    class="com.centrix.core.security.GroupPermissionEvaluator" /> 

Answer 2

Je l'ai fait quelque chose de similaire « manuellement »: à savoir que j'avais mon propre code déterminer quelles instances pourraient être éditées/supprimées par un utilisateur spécifique et se fier uniquement à la sécurité de Spring pour s'assurer qu'elles avaient le bon rôle pour accéder à la fonctionnalité et pour fournir des informations de rôle/d'authentification pour l'utilisateur actuel. Donc, dans mon code, j'ai déterminé le principal courant (notre propre classe User) et sur cette base j'ai décidé quels droits cet utilisateur avait sur une instance spécifique.

public static User getCurrentUser() { 
    User user = null; 
    Authentication auth = SecurityContextHolder.getContext().getAuthentication(); 
    if (auth != null) { 
     Object principal = auth.getPrincipal(); 
     if (principal instanceof User) { 
      user = (User)principal; 
     } 
    } 
    return user; 
} 

Answer 3

Je voudrais juste utiliser vos groupes comme des rôles. J'ai trouvé l'implémentation de Spring ACL très compliquée et pour la plupart inutilisable. Affectez juste des utilisateurs à des "groupes" (Rôles dans toute l'actualité) et vérifiez-les comme vous le feriez avec une autorisation basée sur un rôle normal.