Spring Security : GrantedAuthority를 ​​다루는 방법에 대한 조언이 필요합니다.

Question

Spring Security 애플리케이션의 GrantedAuthority 객체에 대해서는 걱정이됩니다. 나는 물건을 다루는 좋은 방법을 찾고 있어요. 무엇보다도 사실을 설명하는 데 주저하지 않고 실수를 저질렀다면 큰 도움이 될 것입니다.

스프링 보안은 GrantedAuthority 인스턴스를 사용하여 애플리케이션의 다른 부분에서 권한 부여 토큰으로 작동합니다.

기본적으로 GrantedAuthority는 자신을 문자열로 나타낼 수 있습니다. 방법이 @Secured ("ROLE_NAME"), 또는 URL의를 사용하여 보호 할 때 스프링 XML 구성 또는를 사용하여을 확보 할 때 요청이 에 프로그래밍 방식 체크의 HttpServletRequest 경우 (에 request.isUserInRole ("ROLE_NAME")) {..} 항상 점검 할 권한을 지정하는 데 사용하는 String입니다.

응용 프로그램의 여러 위치에서 정적 문자열을 사용할 때의 영향에 대해 궁금합니다. 역할 이름이 변경되면 개발자는 모든 이전 문자열을 검색하여 업데이트해야합니다. String을 놓친 경우 컴파일 타임 오류가 발생하지 않으며 런타임에만 문제가 발생합니다.

Spring Security 애플리케이션에서 GrantedAuthority 오브젝트를 처리 할 때 가장 좋은 방법은 무엇입니까? 귀하의 솔루션에는 어떤 장단점이 있습니까?

Answer 1

큰 문제는 여기에 없습니다. GrantedAuthority가 키를 변경하는 것은 거의 없습니다. ROLE_A 역할을 지정하지 마십시오.

또한 개인적으로 주석을 통해 XML 보안 구성을 선호합니다. 일반적으로 한 곳에서 관련된 구성을 유지하는 것이 좋은 생각처럼 보입니다.

Answer 2

스프링 및 기타 프레임 워크 (특히 동적 언어의 경우)에서는 "컨벤션 오버 규칙"이 사용됩니다. 역할 이름을 자유롭게 정의 할 수 있다면 훨씬 많은 코드 행이 필요하다는 것을 쉽게 알 수 있습니다.

그래서 규칙을 지키십시오. ROLE_ANONYMOUS, ROLE_ADMIN 및 ROLE_USER의 3 가지 역할을 항상 사용하십시오. 다른 이름이 필요하면 적절하게 이름을 지정하고 모든 경우에 사용하십시오. 문서화가 중요합니다.

단위 테스트도 가져옵니다. 컴파일러에서 오류를 발견하지 못하는 경우 도움이됩니다.

Answer 3

먼저 가능한 한 애플리케이션의 특정 위치 (예 : 요청 시작 부분의 HTTP 인터셉터)에서 수표 만 수행하고 언급 된 방법 중 하나만 사용하십시오. 이는 사용자가 권한을 부여받을 때 정식으로 알 수 있기 때문에 좋은 방법입니다.

가능하지 않은 경우 역할 이름에 enums를 사용하고 열거 형에 대해서만 비교하십시오. 따라서 응용 프로그램에서 모든 용도를 찾으려면 간단한 검색을 사용하십시오.