Как добавить проверку разрешения для многих методов в контроллере?(Фильтр, Действие) - PullRequest
Новая
       37

Как добавить проверку разрешения для многих методов в контроллере?(Фильтр, Действие)

0 голосов
/ 11 июля 2019

В начале многих методов у меня есть следующее: 

    if ((user.privilege & User.Privilege.WRITE) == 0) {
        session.setAttribute("alert", "You do not have permission to save.");
        return new ModelAndView("redirect:/admin/home");
    }

Как я могу извлечь это и поместить в отдельный метод, который вызывается перед многими другими методами контроллера, аналогично Ruby on Rails before_action :validate_privilege, [:save, :weekly_report, ...]?

Я нашел это в документах, но он не дает никаких примеров.

https://docs.spring.io/spring-boot/docs/1.5.19.RELEASE/reference/htmlsingle/#boot-features-embedded-container-servlets-filters-listeners

Я нашел способ сделать этооснованный на ответе @ Дэдпула.Кажется, что это сложнее, чем простая аннотация.

@Bean
public GenericFilterBean beforeAction() {
    String[] actions = new String[]{"/admin/censor", "/admin/weekly-report", "/admin/email-blast-submit"};
    return new GenericFilterBean() {
        @Override
        public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
            HttpServletRequest req = (HttpServletRequest) request;
//              System.out.println("requestURI:"+req.getRequestURI());
            boolean found = Arrays.stream(actions).anyMatch(req.getRequestURI()::equals);
            if (found) {
                User user = (User) req.getSession().getAttribute("user");
                if (user != null && (user.privilege & User.Privilege.WRITE) == 0) {
                    req.getSession().setAttribute("alert", "You do not have permission to save.");
                    HttpServletResponse res = (HttpServletResponse) response;
                    res.sendRedirect("/admin/home");
                    return;
                }
            }
            chain.doFilter(request, response);
        }
    };
}

Для API, использующего OAuth2, я использовал 

@Override
public ResponseEntity<...> delete(Principal principal, @RequestBody ...) throws ApiException {
    isAuthorized(principal, "ROLE_USER");
    ...

/** If not authorized, throw ApiException. */
private void isAuthorized(Principal principal, String role) throws ApiException {
    OauthClientDetail cd = userMapper.getOauthClientDetails(principal.getName());
    if (cd == null || cd.authorities == null || !cd.authorities.equals(role)) {
        throw new ApiException(HttpStatus.UNAUTHORIZED, ...);
    }
}

(ApiException, OauthClientDetail (POJO) и UserMapper (MyBatis) являются пользовательскими классами.)

Ответы [ 2 ]

1 голос
/ 11 июля 2019

Если вы ищете Filter для проверки каждого запроса на авторизацию, вы можете использовать Фильтр 

@Component
public class AuthFilter implements Filter {

@Override
public void doFilter
  ServletRequest request, 
  ServletResponse response, 
  FilterChain chain) throws IOException, ServletException {

    HttpServletRequest req = (HttpServletRequest) request;
    LOG.info(
      "Starting a transaction for req : {}", 
      req.getRequestURI());

    chain.doFilter(request, response);
    LOG.info(
      "Committing a transaction for req : {}", 
      req.getRequestURI());
    }

     // other methods 
  }

или GenericFilterBean 

public class CustomFilter extends GenericFilterBean {

@Override
public void doFilter(
  ServletRequest request, 
  ServletResponse response,
  FilterChain chain) throws IOException, ServletException {
    chain.doFilter(request, response);
       }
   }
0 голосов
/ 11 июля 2019

Вы должны использовать Spring Security 

 http.regexMatcher("/*") --> your base path or sth.
            .exceptionHandling()
            .and()
            .csrf()
            .disable();

       http.addFilterAfter(authenticationProcessingFilter(),BasicAuthenticationFilter.class);
...