@Secured服务的方法和弹簧WS

Question

我有以下的项目结构：

基础项目（服务层，模型） web项目 web服务项目

其中两个web项目和web服务项目依赖在基地项目上并使用它提供的服务。

我大量使用Spring框架，这意味着服务的是春豆由@Secured注释和春季安全固定方法。我创建了一个选举器，扩展了检查客户端权限的AbstractAclVoter。

Web项目使用Spring MVC的和Web服务项目春WS与@Endpoint注释和XwsSecurityInterceptor。

这里是我的问题：

的权限检查，如果有电话打进来，从一个web工程控制器或在基础项目的JUnit测试，但是从Web服务项目的请求没有检查正确的权限 - 我的选民不叫！

• 这个事情与XwsSecurityInterceptor？
• 我是否也需要Web服务项目中的DelegatingFilterProxy？ （我有没有 那里的ContextLoaderListener因为一切都是由 的MessageDispatcherServlet配置配置）

Answer 1

具有已填充授予权限的用户身份验证对象仅在Web上下文中不在Web服务项目中可用。当你打电话给你的Web服务应用程序时，你在那里没有相同的安全上下文。所以你的安全标签不会在那里工作。

Answer 2

Spring Security的集成在Web应用程序Servlet过滤器。所以我会假设DelegatingFilterProxy需要被添加到web.xml中，以便它可以处理去往那个应用程序的请求。