如何使用<sec：authorize access =“hasRole（'ROLES）”>检查多个角色？

Question

我想使用Spring Security JSP taglibs基于角色有条件地显示一些内容。 但在Spring Security 3.1.x中只检查一个角色。

我可以使用但是ifllllgranted已被弃用。

任何帮助？

Answer 1

有一个Spring Security的特殊安全表达式：

hasAnyRole（角色列表） - 如果用户已被授予任何 指定的角色（给出一个逗号分隔的列表的字符串）。

我从来没有使用它，但我认为这正是你在找什么。

实例：

<security:authorize access="hasAnyRole('ADMIN', 'DEVELOPER')"> 
    ... 
</security:authorize> 

这里是一个link to the reference documentation其中标准弹簧安全表达式描述。另外，这里是一个discussion，我描述了如何在需要时创建自定义表达式。

Answer 2

JSP页面上使用hasAnyRole可能会导致异常用于提供与单引号的角色时的方法类似下面，主要是当页面与jQuery合并处理的JSP页面：

<security:authorize access="hasAnyRole('ROLE_USER')"> ... 
</security:authorize> 

虽然这是赞成使用方法的弃用解决方案，我认为解决方案提供的here也是有用的。使用替代访问方法是ifAllGranted方法：

<security:authorize ifAllGranted="ROLE_USER"> ... 
</security:authorize> 

此外，请注意，包括JSP页面上的以下标签：

<%@taglib prefix="sec" uri="http://www.springframework.org/security/tags" %> 

Answer 3

我用hasAnyRole('ROLE_ADMIN','ROLE_USER')，但我是越来越以下错误bean创建

Error creating bean with name  'org.springframework.security.web.access.intercept.FilterSecurityInterceptor#0': Cannot create inner bean '(inner bean)' of type [org.springframework.security.web.access.expression.ExpressionBasedFilterInvocationSecurityMetadataSource] while setting bean property 'securityMetadataSource'; nested exception is org.springframework.beans.factory.BeanCreationException: Error creating bean with name '(inner bean)#2': Instantiation of bean failed; nested exception is org.springframework.beans.BeanInstantiationException: Could not instantiate bean class [org.springframework.security.web.access.expression.ExpressionBasedFilterInvocationSecurityMetadataSource]: Constructor threw exception; nested exception is java.lang.IllegalArgumentException: Expected a single expression attribute for [/user/*] 

然后我试了

access="hasRole('ROLE_ADMIN') or hasRole('ROLE_USER')"它的工作对我来说很好。

作为我的用户之一是管理员以及用户。

为此，你需要添加use-expressions="true" auto-config="true"其次是HTTP标签

<http use-expressions="true" auto-config="true" >.....</http> 

Answer 4

@迪马斯的答案是不是你的问题逻辑一致的; ifAllGranted不能直接替换为hasAnyRole。

从Spring Security 3—>4 migration guide：

老：

<sec:authorize ifAllGranted="ROLE_ADMIN,ROLE_USER"> 
    <p>Must have ROLE_ADMIN and ROLE_USER</p> 
</sec:authorize> 

新（SPEL）：

<sec:authorize access="hasRole('ROLE_ADMIN') and hasRole('ROLE_USER')"> 
    <p>Must have ROLE_ADMIN and ROLE_USER</p> 
</sec:authorize> 

与hasAnyRole更换ifAllGranted将直接导致春季用OR而不是评估的声明一个AND。也就是说，hasAnyRole将返回true如果认证主要包含至少一个指定的角色，而Spring的（现在已经过时，因为Spring Security 4）ifAllGranted方法得到确认的主要包含指定角色的所有才会返回true 。

TL; DR：要复制的ifAllGranted使用Spring Security的标签库的新的认证表达式语言行为中，hasRole('ROLE_1') and hasRole('ROLE_2')模式需要使用。