Wie kann der Zugriff nach Rolle auf eine Spring Data REST-Projektion beschränkt werden?

Question

In einer Anwendung mit Spring Data JPA und Spring Data REST, sagen wir mal Sie eine Entität Klasse wie dieses:

@Entity 
public class Person { 

    @Id @GeneratedValue 
    private int id; 

    private String name; 

    @JsonIgnore 
    private String superSecretValue; 

    ... 

} 

Wir wollen Spring Data REST alle dies Unternehmens Felder außer für superSecretValue, entlarven und so wir habe dieses Feld mit @JsonIgnore kommentiert.

jedoch in einigen Fällen wir tun Zugang zu superSecretValue wollen und so schaffen wir einen Vorsprung auf, der alle Felder einschließlich eines zurück:

@Projection(name = "withSecret", types = {Person.class}) 
public interface PersonWithSecret { 

    String getName(); 
    String getSuperSecretValue(); 

} 

ehrfürchtig. So, jetzt können wir Person Einheiten zugreifen einschließlich der superSecretValue Feld wie folgt aus:

curl http://localhost:8080/persons?projection=withSecret 

Meine Frage ist wie können wir sicher, dass Vorsprung? Wie können wir Dinge so konfigurieren, dass jeder Person Entitäten ohne das Feld superSecretValue abrufen kann ... aber nur Leute mit einer bestimmten Rolle (zB ROLE_ADMIN) können die Projektion verwenden, um das versteckte Feld abzurufen?

Ich habe endlose Beispiele für die Verwendung @PreAuthorize oder @Secured Anmerkungen gefunden Spring Data JPA-Repository CRUD Methoden zu sichern (z save(), delete()) ... aber keine Beispiele dafür, wie Verwendung eines Spring Data REST Projektion zu beschränken.

Answer 1

Sie können Eigenschaften in Projektionen mit @Value mit bedingten SpEL-Ausdrücke überladen - wie in diesem already answered similar question.

Betrachten wir andere Alternativen (andere bereits erwähnt):

1. Modell Refactoring. Geteilte Entität durch Zugriffslogik (z. B. Person < ->Account)
2. Hinzufügen benutzerdefinierter Endpunkte für spezielle Logik- und Zugriffsprüfungen. Zum Beispiel der aktuelle Benutzer bei "/ people/me".
3. Anpassen von Standardendpunkten. Fügen Sie beispielsweise einen benutzerdefinierten Controller für "/ people", "/ people/{id}" hinzu, der den benutzerdefinierten Typ Resource (DTO) entsprechend den Benutzerberechtigungen vorverarbeitet und zurückgibt (z. B. PublicPerson statt Person). Dann können Sie benutzerdefinierte Ressourcenprozessoren zum Hinzufügen von benutzerdefinierten Links und benutzerdefinierten Projektionen für diese Typen schreiben.

Siehe auch: Ausgabe zu diesem Thema ab Frühjahr-data-Rest DATAREST-428.

Answer 2

Sie diese Lösung versuchen könnte: https://stackoverflow.com/a/35399030/679240

@Projection(name = "detailed", types = User.class) 
public interface UserDetailProjection extends UserSimpleProjection{ 

    @Value("#{@userService.checkAccess(target)? target.email : null}") 
    public String getEmail(); 
}