java - 重叠 URL 范围的 Spring 安全性

Question

我不知道如何配置 spring security 来为重叠的 URL 指定不同的 ROLE。

<sec:intercept-url pattern="/app/ws**" access="ROLE_WEBSERVICE"/>
<sec:intercept-url pattern="/app**" access="ROLE_ADMIN"/>

我需要在 /app/ws** 上接受具有角色 ROLE_WEBSERVICE 的用户，即使此用户没有用户 ROLE_ADMIN。

你能指出我正确的文件位置吗？我找不到。谢谢。

Answer 1

如果您切换到表达式规则而不是原版规则，RoleVoter您将获得更大的灵活性，例如

<http use-expressions="true">
    ...
    <intercept-url pattern="/app/ws**" access="hasRole('ROLE_WEBSERVICE') and hasRole('ROLE_ADMIN')"/>
    <intercept-url pattern="/app**" access="hasRole('ROLE_ADMIN')"/>
    ...