java – Spring – SpEL在@PreAuthorize(“hasPermission”)中将实体参数计算为空引用

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了java – Spring – SpEL在@PreAuthorize(“hasPermission”)中将实体参数计算为空引用，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含3122字，纯文字阅读大概需要5分钟。

内容图文

我有问题,SpEL在此存储库的第二个方法中将实体参数作为空引用进行评估.第一种方法效果很好,id应该正确评估为Long.

@NoRepositoryBean
public interface SecuredPagingAndSortingRepository<T extends AuditedEntity, ID extends Serializable>
        extends PagingAndSortingRepository<T, ID> {

    @Override
    @RestResource(exported = false)
    @PreAuthorize("hasPermission(#id, null, 'owner')")
    void delete(ID id);

    @Override
    @PreAuthorize("hasPermission(#entity, 'owner')")
    void delete(T entity);
}

这是我的自定义PermissionEvaluator：

@Slf4j
@Component
public class CustomPermissionEvaluator implements PermissionEvaluator {

    private final PermissionResolverFactory permissionResolverFactory;

    @Autowired
    public CustomPermissionEvaluator(PermissionResolverFactory permissionResolverFactory) {
        this.permissionResolverFactory = permissionResolverFactory;
    }

    @Override
    public boolean hasPermission(Authentication authentication, Object targetDomainObject, Object permission) {
        UserDetails userDetails = (UserDetails) authentication.getPrincipal();
        Assert.notNull(userDetails, "User details cannot be null");
        Assert.notNull(targetDomainObject, "Target object cannot be null");
        log.debug("Permmission: " + permission + " check on: " + targetDomainObject + " for user: " + userDetails.getUsername());

        PermissionType permissionType = PermissionType.valueOf(((String) permission).toUpperCase());
        return permissionResolverFactory.getPermissionResolver(permissionType).resolve(targetDomainObject.getClass(), authentication, (AuditedEntity) targetDomainObject);
    }

    @Override
    public boolean hasPermission(Authentication authentication, Serializable targetId, String targetType, Object permission) {
        // TODO
        return false;
    }
}

由于断言在CustomPermissionEvaluator中目标对象不能为null,因此此测试未通过.

@RunWith(SpringRunner.class)
@SpringBootTest
@Transactional
@ContextConfiguration(classes = SqapApiApplication.class)
public class PermissionsIT {
    @Autowired
    private TestGroupRepository testGroupRepository;

    @Autowired
    private UserRepository userRepository;

    UserEntity user;

    @Before
    public void before() {
        user = new UserEntity("user", "password1", true, Sets.newHashSet(RoleType.ROLE_USER));
        user = userRepository.save(user);
    }

    @Test
    @WithMockUser(username="user")
    public void shouldDeleteWhenIsOwner() throws Exception {
        TestGroupEntity testGroupEntity = new TestGroupEntity("testGroup", "testdesc", Sets.newHashSet(new AbxTestEntity(1, "abx", "desc", null)));
        user.addTestGroup(testGroupEntity);
        user = userRepository.save(user);
        TestGroupEntity createdEntity = testGroupRepository.findAll().iterator().next();
        testGroupRepository.delete(createdEntity);
    }
}

解决方法:

当从接口中的spel引用方法参数时,它需要使用Spring Data的@Param对它们进行注释以明确命名它们：

@PreAuthorize("hasPermission(#entity, 'owner')")
void delete(@Param("entity") T entity);

如果参数没有注释,Spring必须使用反射来发现参数名称.这仅适用于接口方法if

>你正在运行Spring 4
>您正在运行Java 8
>使用JDK 8编译接口,并指定了-parameters标志

对于类方法,Spring有另一个选项 – 它可以使用调试信息.这适用于Spring 3和早期版本的Java,但它再次依赖于编译时标志来工作(即-g).

为了便于携带,最好注释您需要引用的所有参数.

参考：Access Control using @PreAuthorize and @PostAuthorize.

内容总结

以上是互联网集市为您收集整理的java – Spring – SpEL在@PreAuthorize(“hasPermission”)中将实体参数计算为空引用全部内容，希望文章能够帮你解决java – Spring – SpEL在@PreAuthorize(“hasPermission”)中将实体参数计算为空引用所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端