知識庫 / Spring / Spring Security RSS 訂閱

再次強調，為了簡化，我們使用提供的 BasicLookupStrategy 和 EhCacheBasedAclCache。

@Autowired
DataSource dataSource;

@Bean
public AclAuthorizationStrategy aclAuthorizationStrategy() {
    return new AclAuthorizationStrategyImpl(new SimpleGrantedAuthority("ROLE_ADMIN"));
}

@Bean
public PermissionGrantingStrategy permissionGrantingStrategy() {
    return new DefaultPermissionGrantingStrategy(new ConsoleAuditLogger());
}

@Bean
public SpringCacheBasedAclCache aclCache() {
    final ConcurrentMapCache aclCache = new ConcurrentMapCache("acl_cache");
    return new SpringCacheBasedAclCache(aclCache, permissionGrantingStrategy(), aclAuthorizationStrategy());
}

@Bean 
public LookupStrategy lookupStrategy() { 
    return new BasicLookupStrategy(
      dataSource, 
      aclCache(), 
      aclAuthorizationStrategy(), 
      new ConsoleAuditLogger()
    ); 
}

在這裏，AclAuthorizationStrategy負責確定當前用户是否擁有在特定對象上的所有所需權限。

它需要PermissionGrantingStrategy的支持，該策略定義了確定權限是否被授予特定SID的邏輯。

3. 使用 Spring ACL 進行方法安全防護

到目前為止，我們已經完成了所有必要的配置。現在我們可以將所需的檢查規則應用於我們的安全方法。

默認情況下，Spring ACL 引用BasePermission 類用於所有可用的權限。基本上，我們擁有READ, WRITE, CREATE, DELETE 和ADMINISTRATION 權限。

讓我們嘗試定義一些安全規則：

@PostFilter("hasPermission(filterObject, 'READ')")
List<NoticeMessage> findAll();
    
@PostAuthorize("hasPermission(returnObject, 'READ')")
NoticeMessage findById(Integer id);
    
@PreAuthorize("hasPermission(#noticeMessage, 'WRITE')")
NoticeMessage save(@Param("noticeMessage")NoticeMessage noticeMessage);

在執行 findAll() 方法後，@PostFilter 將會被觸發。 要求的規則 hasPermission(filterObject, ‘READ’)，意味着只返回當前用户對 NoticeMessage 具有 READ 權限的那些對象。

同樣，@PostAuthorize 在執行 findById() 方法後觸發，確保只返回當前用户對該 NoticeMessage 對象具有 READ 權限時才返回該對象。 如果沒有，系統將拋出 AccessDeniedException。

另一方面，系統在調用 save() 方法之前觸發 @PreAuthorize 註解。 它將決定相應的方法是否允許執行。 如果沒有，將拋出 AccessDeniedException。

4. 實際應用

現在我們將使用 JUnit 測試所有這些配置。 我們將使用 H2 數據庫以保持配置儘可能簡單。

我們需要添加：

<dependency>
  <groupId>com.h2database</groupId>
  <artifactId>h2</artifactId>
</dependency>

<dependency>
  <groupId>org.springframework</groupId>
  <artifactId>spring-test</artifactId>
  <scope>test</scope>
</dependency>

<dependency>
  <groupId>org.springframework.security</groupId>
  <artifactId>spring-security-test</artifactId>
  <scope>test</scope>
</dependency>

4.1. 場景

在當前場景中，我們將有兩位用户（經理、人力資源）和一個用户角色（角色編輯），因此我們的 acl_sid 將為：

INSERT INTO acl_sid (principal, sid) VALUES
  (1, 'manager'),
  (1, 'hr'),
  (0, 'ROLE_EDITOR');

然後，我們需要在 acl_class 中聲明 NoticeMessage 類。並將三個 NoticeMessage 類的實例插入到 system_message 中。

此外，對於這三個實例，必須在 acl_object_identity 中聲明相應的記錄。

INSERT INTO acl_class (id, class) VALUES
  (1, 'com.baeldung.acl.persistence.entity.NoticeMessage');

INSERT INTO system_message(id,content) VALUES 
  (1,'First Level Message'),
  (2,'Second Level Message'),
  (3,'Third Level Message');

INSERT INTO acl_object_identity 
  (object_id_class, object_id_identity, 
  parent_object, owner_sid, entries_inheriting) 
  VALUES
  (1, 1, NULL, 3, 0),
  (1, 2, NULL, 3, 0),
  (1, 3, NULL, 3, 0);

最初，我們授予用户 manager 在第一個對象 (id =1) 上 READ 和 WRITE 權限。與此同時，任何具有 ROLE_EDITOR 角色的用户都將擁有所有三個對象上的 READ 權限，但僅在第三個對象 (id=3) 上擁有 WRITE 權限。此外，用户 hr 僅擁有第二個對象上的 READ 權限。

由於我們使用默認的 Spring ACL BasePermission 類進行權限檢查，因此 READ 權限的掩碼值為 1，WRITE 權限的掩碼值為 2。我們的 acl_entry 數據如下所示：

INSERT INTO acl_entry 
  (acl_object_identity, ace_order, 
  sid, mask, granting, audit_success, audit_failure) 
  VALUES
  (1, 1, 1, 1, 1, 1, 1),
  (1, 2, 1, 2, 1, 1, 1),
  (1, 3, 3, 1, 1, 1, 1),
  (2, 1, 2, 1, 1, 1, 1),
  (2, 2, 3, 1, 1, 1, 1),
  (3, 1, 3, 1, 1, 1, 1),
  (3, 2, 3, 2, 1, 1, 1);

4.2. 測試用例

首先，我們嘗試調用 findAll 方法。

根據我們的配置，該方法只返回用户具有 READ 權限的 NoticeMessage。

因此，我們期望結果列表只包含第一條消息：

@Test
@WithMockUser(username = "manager")
public void 
  givenUserManager_whenFindAllMessage_thenReturnFirstMessage(){
    List<NoticeMessage> details = repo.findAll();
 
    assertNotNull(details);
    assertEquals(1,details.size());
    assertEquals(FIRST_MESSAGE_ID,details.get(0).getId());
}

然後我們嘗試調用相同的方法，使用任何具有 ROLE_EDITOR 角色的用户。注意，在這種情況下，這些用户在所有三個對象上都具有 READ 權限。

因此，我們期望結果列表將包含這三個消息：

@Test
@WithMockUser(roles = {"EDITOR"})
public void 
  givenRoleEditor_whenFindAllMessage_thenReturn3Message(){
    List<NoticeMessage> details = repo.findAll();
    
    assertNotNull(details);
    assertEquals(3,details.size());
}

接下來，使用 manager 用户，我們將嘗試通過 ID 獲取第一條消息並更新其內容，這應該一切順利：

@Test
@WithMockUser(username = "manager")
public void 
  givenUserManager_whenFind1stMessageByIdAndUpdateItsContent_thenOK(){
    NoticeMessage firstMessage = repo.findById(FIRST_MESSAGE_ID);
    assertNotNull(firstMessage);
    assertEquals(FIRST_MESSAGE_ID,firstMessage.getId());
        
    firstMessage.setContent(EDITTED_CONTENT);
    repo.save(firstMessage);
        
    NoticeMessage editedFirstMessage = repo.findById(FIRST_MESSAGE_ID);
 
    assertNotNull(editedFirstMessage);
    assertEquals(FIRST_MESSAGE_ID,editedFirstMessage.getId());
    assertEquals(EDITTED_CONTENT,editedFirstMessage.getContent());
}

如果任何擁有 ROLE_EDITOR 角色的用户更新第一條消息的內容，我們的系統將拋出 AccessDeniedException：

@Test(expected = AccessDeniedException.class)
@WithMockUser(roles = {"EDITOR"})
public void 
  givenRoleEditor_whenFind1stMessageByIdAndUpdateContent_thenFail(){
    NoticeMessage firstMessage = repo.findById(FIRST_MESSAGE_ID);
 
    assertNotNull(firstMessage);
    assertEquals(FIRST_MESSAGE_ID,firstMessage.getId());
 
    firstMessage.setContent(EDITTED_CONTENT);
    repo.save(firstMessage);
}

同樣，hr 用户可以通過 ID 查找第二個消息，但無法更新它：

@Test
@WithMockUser(username = "hr")
public void givenUsernameHr_whenFindMessageById2_thenOK(){
    NoticeMessage secondMessage = repo.findById(SECOND_MESSAGE_ID);
    assertNotNull(secondMessage);
    assertEquals(SECOND_MESSAGE_ID,secondMessage.getId());
}

@Test(expected = AccessDeniedException.class)
@WithMockUser(username = "hr")
public void givenUsernameHr_whenUpdateMessageWithId2_thenFail(){
    NoticeMessage secondMessage = new NoticeMessage();
    secondMessage.setId(SECOND_MESSAGE_ID);
    secondMessage.setContent(EDITTED_CONTENT);
    repo.save(secondMessage);
}

5. 結論

在本文中，我們已經完成了 Spring ACL 的基本配置和使用。

正如我們所知，Spring ACL 需要特定的表來管理對象、權限/角色和權限設置。所有與這些表進行的交互，尤其是更新操作，都必須通過 AclService 進行。我們將在一篇後續文章中探討這個服務，用於基本的 CRUD 操作。

默認情況下，我們受到 BasePermission 類中預定義的權限的限制。