JHipster Rollenbasierte Maskierung bestimmter Spalten

Question

In einem JHipster-basierten Projekt müssen bestimmte Spalten basierend auf der angemeldeten Rolle/dem Benutzer selektiv herausgefiltert werden. Alle Benutzer können die meisten Spalten anzeigen, jedoch nur einige privilegierte Spalten Benutzer können bestimmte sichere Felder/Spalten anzeigen/ändern.

Es sieht so aus, als ob die einzige Möglichkeit, dies zu erreichen, EntityListeners ist. Ich kann einen EntityListener verwenden und eine bestimmte Spalte während PostLoad Ereignis maskieren. Sagen wir zum Beispiel, ich maskiere die Spalte my_secure_column mit XXX und zeige sie dem Benutzer an.

Der Benutzer ändert dann einige andere Felder/Spalten (zu denen er Zugriff hat) und sendet das Formular. Muss ich die teilweise ausgefüllte Entität erneut in das Ereignis PreUpdate einfangen, den ursprünglichen Wert für my_secure_column aus der Datenbank abrufen und vor dem Fortsetzen festlegen?

All dies scheint ineffizient. Mehrere Stunden durchforstet, konnte jedoch keine spezifische Implementierung finden, die diesem Anwendungsfall am besten entspricht.

Bearbeiten 1: Dies sieht wie ein erster Schritt, um dies auf eine etwas bessere Weise zu erreichen. Updating Entities with Update Query in Spring Data JPA

Ich könnte bestimmte Teilupdates wie updateAsUserRole, updateAsManagerRole usw. verwenden, anstatt die ganze Entität die ganze Zeit zu behalten.

Answer 1

Säulenbasierte Sicherheit ist kein einfaches Problem zu lösen, und besonders in Kombination mit JPA.

Im Idealfall vermeiden Sie es sogar, die Spalten zu laden, aber da Sie Entitäten auswählen, ist dies standardmäßig nicht möglich, Sie müssen also den eingeschränkten Inhalt entfernen, indem Sie den Wert nach dem Laden überschreiben.

Als Alternative können Sie eine View-Bean (POJO) erstellen und dann JPQL Constructor Expression verwenden. Persönlich würde ich CriteriaBuilder. construct() anstelle der Verkettung einer JPQL-Abfrage verwenden, aber das gleiche Prinzip.

In Bezug auf die Aktualisierung der Daten sollte die UI die Bearbeitung von eingeschränkten Feldern nicht zulassen. Sie müssen jedoch noch im Backend validieren, und ich würde empfehlen, dass Sie vor dem Aufruf von JPA prüfen, ob die Spalte geändert wurde. Normalerweise haben Sie die Änderungen in einem DTO und müssten die Entität trotzdem laden. Wenn eine eingeschränkte Spalte geändert würde, würden Sie einen Fehler zurücksenden. Auf diese Weise rufen Sie JPA nur an, nachdem die Sicherheit überprüft wurde.