스프링 시큐리티에서 글 접근 권한 처리도 할 수 있나요?

Question

스프링 시큐리티에서 인가처리는 보통 USER_ROLE을 이용해서 ADMIN인지, 일반USER인지 구분하는것으로 이해하고 있습니다. http.authorizeRequests() .antMatchers("/user/**").permitAll() .antMatchers("/admin/**").hasRole("admin")이런식으로... 접근 페이지에 admin이란 url이 들어가면 Role이 admin인지 확인하는 방식으로요.근데 제가 구현하는 프로젝트의 경우, ADMIN은 존재하지않고 모든 회원이 일반USER인 상태라고 볼 수 있습니다. 그래서 USER_ROLE을 사용하지 못합니다.다만 게시물마다 "비공개", "공개", "팔로워 공개" 를 선택할 수 있도록 해놔서, 글마다 접근권한이 달라집니다. 이런경우에도 스프링 시큐리티를 사용하여 접근 권한을 관리하나요? 저는 잘 모르겠어서 일단은 백엔드에서 처리해주고 있습니다. 특정 게시물을 조회하는 요청 -> 그 게시물의 공개범위를 저장한 변수를 찾고 -> 만약 팔로워공개인 게시물이라면 현재 요청유저가 글쓴이의 팔로워인지 확인 -> 팔로워라면 Auth = true로 셋팅 -> 타임리프로 넘겨서 글내용 권한이 없습니다 이런식으로 내용을 보여주도록 하고 있습니다. 동작자체는 문제가 없지만..일반적으로 이런식으로 문제를 해결하진 않을것같아서요ㅜ 시큐리티로도 이 문제 해결이 가능한가요??

consr · Answer

글 하나하나의 권한이니까 시큐리티보다는 변수로 사용하는게 좋지 않을까요?

양반후반 · Answer

메소드 시큐리티로 찾아보시기 바랍니다.그리고 role과 authorities에 대해서도 찾아보시기 바랍니다.

초무쿤 · Answer

PermissionEvaluator 인터페이스를 상속해서 구현,등록 후실제 메서드에서는 &#64;PreAuthorized(&#34;hasPermisson(..)&#34;) 라고 체크 할수 있는 기능이 있긴 합니다만..사용하기 좀 모호하고 1개만 등록가능해서 개인적으로는 선호하지 않고전 그냥 Evaluator 컴포턴트를 만들고&#64;PreAuthorized(&#34;&#64;빈네임.메서드(...)&#34;) 로 사용하는 편이에요. 메서드에서 체크 시https://github.com/oopscraft/arch4j/blob/main/arch4j-web/src/main/java/org/oopscraft/arch4j/web/api/v1/board/BoardRestController.java#L24체크 beanhttps://github.com/oopscraft/arch4j/blob/main/arch4j-core/src/main/java/org/oopscraft/arch4j/core/board/BoardPermissionEvaluator.java

스프링 시큐리티에서 글 접근 권한 처리도 할 수 있나요?

3개의 답변

#auth 목록