Spring Security：只允許用戶訪問他們自己的管理頁面

Question

在我的Web應用程序中，用戶可以更改他們的用戶詳細信息。該頁面的URL是：

springproject/usermanagement/edituserinfo/4 

其中「4」是用戶標識。

我的安全上下文的樣子：

<security:http auto-config="true" use-expressions="true"> 
    <security:intercept-url pattern="/usermanagement" access="isAuthenticated()" /> 
    <security:intercept-url pattern="/usermanagement/new" access="hasRole('ROLE_ADMIN')" /> 
    <security:intercept-url pattern="/usermanagement/edit/*" access="hasRole('ROLE_ADMIN')" /> 
    <security:intercept-url pattern="/usermanagement/edituserinfo/*" access="isAuthenticated()" /> 
</security:http> 

我怎樣才能限制用戶只能訪問自己的「edituserinfo」頁？例如。與用戶ID用戶1只能訪問： 「springproject/usermanagement/edituserinfo/1」，而不是 「springproject/usermanagement/edituserinfo/4」

Answer 1

使用上的URL PathVariable，像@RequestMapping("/usermanagement/edituserinfo/{userid}")並在代碼驗證已登錄在用戶的Spring Security上下文原則中（通過SecurityContextHolder.getContext().getAuthentication().getPrincipal()）針對userid路徑變量。如果他們不匹配，將用戶彈出，登錄SecurityException，併發送電子郵件給管理員。

Answer 2

您也可以做到這一點使用Spring Security的@PreAuthorize支持表達式：

@PreAuthorize("#userId == principal.id") 
public void doSomething(@PathVariable String userId); 

見春文檔：

Access Control using @PreAuthorize and @PostAuthorize