6

我目前正在开发的系统需要一些基于角色的安全性,这在 Java EE 堆栈中得到了很好的满足。该系统旨在成为业务领域专家在其上编写代码的框架。

但是,对数据也有要求security。也就是说,最终用户可以看到哪些信息。

这实际上意味着减少对数据库中行(甚至可能是列)的可见性。

我们使用 Hibernate 来实现持久性。但是,我们使用自己的注释,以免将我们的持久性选择暴露给业务领域专家。

对于基于行的安全性,这意味着我们可以添加一个注释,例如@Secured在实体级别,这会导致在基础表中添加一个额外的列来限制我们的选择?

对于基于列的安全性,我们可能不得不@Secured协助查询生成,或者可能使用方面来过滤返回的信息?

我很想知道这也会如何影响hibernate的缓存机制?

我相信很多其他人都会遇到同样的问题,我想知道你是如何解决这个问题的?

非常感激...

4

2 回答 2

6

Hibernate 有一个过滤机制,可能对你有用。过滤器将重写 hibernate 生成的查询以包含一个附加子句来限制返回的行。我不知道休眠中有任何隐藏/隐藏列的内容。

您的数据库也可能支持此功能。例如,Oracle 拥有虚拟专用数据库(VPD),它将在数据库级别重写您的查询。该解决方案还有一个额外的好处,即任何违反您的数据库的外部程序(例如报告工具)都会强制执行您的安全限制。VPD 还支持使用 NULL 屏蔽受限制的列。

不幸的是,上述解决方案不足以支持我通常从事的类型项目的安全要求。在上述解决方案中,通常存在某种无法轻易表达的上下文。例如,用户可以查看他们创建的数据、标记为公开的数据或属于他们管理的项目的数据。

我们通常创建查询/查找器/DAO 对象,我们在其中传递强制执行安全性所需的值,然后相应地创建查询。

我希望这有帮助

于 2008-08-29T18:12:36.350 回答
1

使用 Hibernate 过滤器时,您需要注意附加限制不会应用于由load()orget()方法生成的 SQL 语句。

于 2008-09-01T11:13:42.120 回答