spring-data-jpa - 将Spring Security ACL与Spring Data REST结合使用

我正在尝试授权Spring Data REST公开的api。到目前为止，我已经能够进行基于角色的授权，即：

@RepositoryRestResource(path = "book")
public interface BookRepository extends JpaRepository<Book, Long> {

    @PreAuthorize("hasRole('ROLE_ADMIN')")
    <S extends Book> Book save(Book book);
}

同样在同一个项目中，我有一个具有ACL机制的服务层，该服务层正在运行。

我无法在Spring Data REST中使用PostFilter表达式，即：

@PostFilter("hasPermission(filterObject, 'read') or hasPermission(filterObject, admin)")
List<Book> findAll();

如果有人将ACL与Spring Data REST一起使用，那将有很大的帮助。

注意：我知道以下未解决的问题：

https://jira.spring.io/browse/DATAREST-236

https://jira.spring.io/browse/SEC-2409

最佳答案

使用JpaRepository遮盖了List findAll（）方法。然后，我使用了CrudRepository，并应用了PostFilter。

有关更多详细信息，可在GitHub上找到一个示例项目：
https://github.com/charybr/spring-data-rest-acl

基于ACL的授权适用于Spring Data REST公开的以下实体。

import org.springframework.data.repository.CrudRepository;
import org.springframework.data.rest.core.annotation.RepositoryRestResource;
import org.springframework.security.access.method.P;
import org.springframework.security.access.prepost.PostFilter;
import org.springframework.security.access.prepost.PreAuthorize;

@RepositoryRestResource(path = "book")
public interface BookRepository extends CrudRepository<Book, Long> {

    @PreAuthorize("hasRole('ROLE_ADMIN') or hasPermission(#book, 'write')")
    <S extends Book> Book save(@P("book") Book book);

    @Override
    @PostFilter("hasPermission(filterObject, 'read') or hasPermission(filterObject, admin)")
    Iterable<Book> findAll();
}