通過GET參數進行Spring安全授權

Question

我正在嘗試讓Spring Security通過GET變量處理授權。 我能夠找到的所有示例幾乎都完全集中在基於角色的授權上，這對我的應用程序實際上並不起作用。 身份驗證/授權過程的工作方式如下：

1. 用戶通過外部系統進行身份驗證，獲取會話ID。
2. 用戶將兩個GET參數傳遞給我的應用程序sessionId和objectId。
3. 應用程序驗證會話是否有效（已經弄清楚了這部分）
4. 應用程序驗證對象是否對用戶可見（需要幫助）
5. 應用程序將對象信息返回給用戶

我所看到的所有示例都說明了Spring Security可以多么強大地檢查URL模式或Java方法上的授權權限。 但是我需要在第4步上執行自定義檢查，以確保用戶在后端具有正確的權限（可以為用戶授予特定於對象的權限，因此角色方法在這里行不通）。

我是Spring Security的新手，所以我的思考過程可能是各種各樣的錯誤。 如果我是，請隨時糾正我！

Answer 1

您需要使用ACL功能，或者可以通過一些自定義代碼（例如，通過自定義Web安全表達式）來模仿同一件事。 有關詳細信息，請參見此帖子 。

Answer 2

我認為您需要查看文檔中的“ 預身份驗證方案”部分。 特別是，您可能需要實現AbstractPreAuthenticatedProcessingFilter才能基於GET參數對用戶進行預身份驗證。