在Spring Security中与hasPermission一起使用时，权限参数是否区分大小写？

Question

以下两行的行为是否相同？

@PreAuthorize("hasPermission(#task, 'MANAGER')

@PreAuthorize("hasPermission(#task, 'manager')

另外，权限常量在CustomPermission.java中定义如下

 public static final Permission MANAGER    = new CustomPermission(1<<7,'M');

Answer 1

权限参数是否区分大小写？ 好，是的，不是。 如果许可权是大写的String并且您输入了小写的许可权，那么它将起作用。 相反，不会。

我检查了Spring的源代码。 AclPermissionEvaluator是PermissionEvaluator的默认实现，这是处理hasPermission()例程的接口。 它尝试首先从原始给定的String查找许可。 如果找不到，它将再次尝试调用toUpperCase() 。

亲自查看：

if (permission instanceof String) {
    String permString = (String) permission;
    Permission p;

    try {
        p = permissionFactory.buildFromName(permString);
    }
    catch (IllegalArgumentException notfound) {
        p = permissionFactory.buildFromName(permString.toUpperCase());
    }

    if (p != null) {
        return Arrays.asList(p);
    }

}

---

参考：

https://github.com/spring-projects/spring-security/blob/7b4a37f27e4ba7045bd63656e49ee0d5ee381ce5/acl/src/main/java/org/springframework/security/acls/AclPermissionEvaluator.java