爲什麼默認的Spring Security策略是基於AffirmativeBased的？

Question

從spring security docs爲的AccessDecisionManager：

默認的策略是使用下一個AffirmativeBased的AccessDecisionManager用的RoleVoter和AuthenticatedVoter使用。

的AffirmativeBased選民：

授予訪問權限，如果的AccessDecisionVoter返回肯定響應

按照文檔的任何，RoleVoter就會基於經過驗證的對象是否具有根據對象是否通過身份驗證來糾正ROLE_權限，以及AuthenticatedVoter。

我的困惑是，什麼是AuthenticatedVoter對象投票？在我的應用程序中，我只希望有人使用ROLE_USER來訪問資源。但是我也在我的AbstractAuthenticationToken實現上設置了setAuthenticated（true）。

從閱讀文檔來看，基於AffirmativeBased的策略只需要通過認證就可以訪問資源，並且不會打擾ROLE的要求。是否存在實際正在檢查的不同「已驗證」值？

我知道UnanimousBased策略，但似乎我還沒有理解認證測試，否則在默認實現中會有一個很大的安全漏洞。

Answer 1

當您配置授權時，您提供配置屬性，例如hasRole('admin')。投票期間，選民會檢查是否支持，否則會放棄投票。在AuthenticatedVoter的情況下，如果訪問配置爲Role，它將放棄投票。查看源代碼vote method。