定制用戶組的Spring Security授權

Question

我正在嘗試使用Spring Security實現Web應用程序。 我了解Spring Security的基於角色的機制，並且可以使其工作。 我的問題是，在我的Web應用程序中，用戶可以在其中創建自己的組並向其中添加朋友（該應用程序的其他用戶）。 對用戶某些頁面的訪問基於該朋友組。 它的工作方式應類似於Facebook用戶和組。 如何使用Spring Security實現這些自定義用戶組以及對用戶頁面的訪問？ 此用例是否有默認機制？ 還是應該實現自己的數據庫表？

Answer 1

我正在使用具有ACL機制的用戶組。 基本上，我確保在為對象創建ACL時設置所有者。 然后，當另一個用戶嘗試訪問該對象時，將檢查所有者的組以查看是否存在匹配項。

當然，這意味着當用戶更改組時，對象將“與他同行”。

如果您不希望出現這種情況，則可以將組對象的ACL作為安全對象的父級ACL。 然后，當用戶更改組時，應為組對象ACL設置正確的條目。 這樣，安全對象將綁定到用戶組而不是用戶本人。

Spring Security域對象安全性（ACL）