使用Spring MVC进行基于角色的访问控制

Question

我想知道使用spring的基于角色的访问控制的最佳实践.

我的要求是,

我将分配给用户的一组角色说,

user1 = admin,user2 = expert

user1将具有类似的访问权限

/管理/会员管理

/管理/项目管理

......

对于user2 ....

/ myproject1/*

所以如果user2试图访问该URL

/管理/会员管理

将重定向到授权失败页面.

Answer 1

与Spring MVC一起使用的标准框架是Spring Security.虽然它可能非常复杂,但这里是您需要的最小版本:4.2.2最小配置

在您的情况下,配置将是这样的:

<http auto-config='true'>
    <intercept-url pattern="/admin/**" access="ROLE_ADMIN" />
</http>