在哪些场景中方法级别的安全性比url级别的安全性有所帮助

Question

我正在使用Spring MVC和Spring Security制作一个简单的Web应用程序。有人可以解释我在哪些场景中需要方法级安全性和URL级安全性？ 因为我们可以限制特定角色的用户通过URL级安全性访问页面，或者通过在视图中为操作保留安全标签。那么，用户如何从服务层访问一个方法呢？在这种情况下，方法级别安全性如何帮助？请解释。

在此先感谢。

Answer 1

方法级别安全性可以视为URL级别安全性的补充。例如，我们可能需要保护我们应用程序中的一些URL，要求角色ROLE_USER访问它们。这可以通过URL级别的安全性来实现。

https://domain.com/entities/5 

考虑上面的URL，可以使用URL级安全性进行保护，如下所示。

<security:intercept-url pattern="/entities/**" access="hasRole('ROLE_USER')" /> 

但是，有时您需要更细粒度的安全性。例如，您可能希望允许仅向其所有者访问给定实体（id = 5）。这是您无法通过URL级安全性实现的功能，但可以通过方法级安全性来完成。