Spring MVC基於角色的訪問控制

Question

我想知道基於角色的訪問控制的最佳實踐。

我的要求是，

我已經設置分配給用戶說的角色，

USER1 =管理員，用戶2 =專家

USER1將有訪問寫像

/admin/member-managem耳鼻喉科

/管理/項目管理

......

，對於user2 ....

/myproject1/*

所以如果用戶2試圖訪問網址

/管理/會員管理

會重定向到授權失敗頁面。

Answer 1

Spring MVC使用的標準框架是Spring Security。雖然它可以是非常複雜的，這裏有你所需要的最低版本：4.2.2 A Minimal Configuration

在你的情況下，配置將是這樣的：

<http auto-config='true'> 
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" /> 
</http> 

Answer 2

春季安全有作用的，但出來的概念該框沒有權限的概念。它確實有一個ACLs的概念，但是這個ACL比權限複雜得多，它們與特定對象的行爲相關，而與一般的授權行爲相關。

看看Apache Shiro。它的角色和permissions看起來非常類似於您作爲示例給出的內容（使用通配符）。它也是easy to use with Spring。