Grails with SpringSecurity，检查当前用户是否可以访问控制器/操作

Question

我目前正在为我的应用程序开发一个菜单，该菜单应该只能显示当前用户可以访问的控制器（数据库中定义的requestmap）。

如何检查当前用户是否可以访问特定的控制器和操作？

Answer 1

您必须配置文件配置/ SecurityConfig.groovy（如果不存在的话，创建它，这将覆盖默认的安全配置）

添加此项：

requestMapString = """\ 
      CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON 
      PATTERN_TYPE_APACHE_ANT 
      /=IS_AUTHENTICATED_REMEMBERED 
      /login/auth=IS_AUTHENTICATED_ANONYMOUSLY 
      /login/authajax=IS_AUTHENTICATED_ANONYMOUSLY 
      /login/authfail=IS_AUTHENTICATED_ANONYMOUSLY 
      /js/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /css/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /images/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /plugins/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /**=IS_AUTHENTICATED_REMEMBERED 
      """ 

这是手段您必须登录才能进入该网站。但是所有资源（CSS，js，图像等）都是在没有认证的情况下访问的。

如果你想具体的作用只能进入特定的控制器： 例如，对于UserController的：

/user/**=ROLE_ADMIN 
    /role/**=ROLE_ADMIN 

欲了解更多信息：http://www.grails.org/AcegiSecurity+Plugin+-+Securing+URLs

问候

Answer 2

当视图和标记库的权限处理，你可以使用插件提供的AuthorizeTagLib。

例如，如果你不希望出现在你的列表中未经验证的用户菜单项，您可以使用：

<g:isLoggedIn> 
    <li>Restricted Link</li> 
</g:isLoggedIn> 

如果定义了更具体的角色和这些角色都与您的控制器/动作请求映射，您可以使用其他标记，如：

<g:ifAllGranted role="ROLE_ADMINISTRATOR"> 
    <li>Administrator Link</li> 
</g:ifAllGranted> 

根据我的经验，有没有扎请求映射到您的标记一个好办法 - 我认为你将不得不使用上面的一些标签来限制对特定GSP内容的访问。

我认为Burt Beckwith有一个将来的修改（目前正在提供一个beta version），该插件集成了一些可以在未来更好地解决这个问题的ACL东西，但现在我认为最好的方法是混合请求地图+ GSP标签之一。

Answer 3

据我所知，似乎没有一种简单的方法来做到这一点。

，你可以注入的Grails AuthenticatedVetoableDecisionManager的一个实例，它是这样一个具体的班春的AbstractAccessDecisionManager的：

def accessDecisionManager 

这上面有一个“决定”方法，它有3个参数

decide(Authentication authentication, Object object, ConfigAttributeDefinition config) 

这可能是您需要调用并传递正确的东西来确定具有授权信用的用户是否可以访问该“对象”（看起来像是通常为请求/响应）的方法。一些额外的挖掘可能证明这里可行的东西。

短期来说，使用ifAnyGranted taglib可能更容易，因为另一张海报提到。

Answer 4

我不知道在Groovy，但在Java（所以我想Groovy的太......），你可以这样做（减去NPE检查）：

GrantedAuthority[] authorities = SecurityContextHolder.getContext().getAuthentication().getAuthorities(); 
boolean isAdmin = false; 
for(GrantedAuthority authority : authorities) { 
    String role = authority.getAuthority(); 
    if(role != null && role.equals("ROLE_ADMIN")) { 
     isAdmin = true; 
     break; 
    } 
} 

至于知道是否将采取行动您必须调用RequestMap服务才能获取映射的角色，并查看它是否包含找到的用户角色。

Answer 5

 
org.grails.plugins.springsecurity.service.AuthenticateService authenticateService = new org.grails.plugins.springsecurity.service.AuthenticateService() 
def isAdmin = authenticateService.ifAllGranted('ROLE_ADMIN') 

if(isAdmin) { 
    println 'I am Admin' 
} 

Answer 6

这个问题很老了，但我想我至少会发布一个似乎适用于Grails 2.0的答案。如果您使用的是spring安全插件，则包含一个名为的标签库。grails.plugins.springsecurity.SecurityTagLib。

标签库有一个受保护的方法，hasAccess（）可以采用相同的参数映射，你给g：link标签。所以，如果你扩展SecurityTagLib，你可以调用hasAccess（）并获得你想要的行为。为什么这不是可以注入到可以注入的服务中，因为功能似乎满足了明显的需求。

我们用它来包裹克：链接标签，只生成用户的链接访问到目标页面：

def link = { attrs, body -> 
    if(hasAccess(attrs.clone(), "link")) { 
     out << g.link(attrs, body) 
    } 
    else { 
     out << body() 
    } 
} 

Answer 7

要针对检查角色： 春季安全插件提供是ifAllGranted ，ifAnyGranted，ifNoneGranted等，标签检查角色

例如，要检查的登录用户管理员角色：

<sec:ifLoggedIn> 
    <sec:ifAllGranted roles="ROLE_ADMIN"> 
     Admin resource 
    </sec:ifAllGranted> 
</sec:ifLoggedIn> 

（在grails-2.2.2和springSecurityCorePlugin-1.2.7.3中测试）

Answer 8

不确定最初询问此问题时的情况，但现在您可以通过使用以查看用户是否处于特定角色SpringSecurityUtils.ifAllGranted()它采用一个字符串，它是一个逗号分隔的角色列表。如果当前用户属于他们全部，它将返回true。

if(SpringSecurityUtils.ifAllGranted('ROLE_ADMIN,ROLE_USER')) { 

显然，如果这是您所需要的，您可以简单地将一个角色传递给函数。 SpringSecurityUtils也有像ifAnyGranted,ifNotGranted等方法，所以它应该适用于你想要完成的任何事情。

SpringSecurityUtils是一个静态API，因此您不需要创建一个名为springSecurityUtils的私有成员或类似的东西。