基於角色訪問服務方法使用彈簧和mongodb

Question

我有一個需求，我需要使用基於角色的訪問服務方法。我有寧靜的服務，我使用spring-data與MongoDB進行交互。

我有一些限制。我在DB中處理一個名爲「Organization」的文檔。在每個組織中，我知道誰是管理員。我沒有可以訪問這些服務的用戶的存儲庫。

因此，我可以強制執行一些基於訪問的規則的唯一方法是檢查登錄用戶是否是爲每個組織配置的管理員之一，然後允許用戶訪問方法。

我應該考慮在這種情況下應用Spring安全嗎？否則，將針對數據庫文檔中配置的管理員進行簡單的用戶檢查？我可以在單點上進行此項檢查，以便根據我的用例需求將其應用於服務方法。

請提供你的建議/想法如何去做這件事。

Answer 1

如果您使用Spring Security，您的其他方法可以利用傳入的已認證主體對象（示例here），因此您可以執行任何所需的額外驗證（例如檢查管理員是否適合請求的特定組織，等等）還有many other參數可用，可能允許此組織檢查完成一次並存儲在會話對象中。