Grails con SpringSecurity, compruebe si el usuario actual puede acceder al controlador/acción

Question

Actualmente estoy desarrollando un menú para mi aplicación que debería poder mostrar solo los controladores a los que puede acceder el usuario actual (requestmap definido en la base de datos).

¿Cómo puedo verificar si el usuario actual tiene acceso a un controlador y acción específicos?

Answer 1

tiene que configurar el archivo de configuración/SecurityConfig.groovy (si no existe, lo crea, esto anula la configuración de seguridad por defecto)

Añadir esta entrada:

requestMapString = """\ 
      CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON 
      PATTERN_TYPE_APACHE_ANT 
      /=IS_AUTHENTICATED_REMEMBERED 
      /login/auth=IS_AUTHENTICATED_ANONYMOUSLY 
      /login/authajax=IS_AUTHENTICATED_ANONYMOUSLY 
      /login/authfail=IS_AUTHENTICATED_ANONYMOUSLY 
      /js/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /css/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /images/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /plugins/**=IS_AUTHENTICATED_ANONYMOUSLY 
      /**=IS_AUTHENTICATED_REMEMBERED 
      """ 

Este es un medio que debe iniciar sesión para ingresar al sitio. Pero se accede a todos los recursos (css, js, imágenes, etc.) sin autentificación.

Si quieres función específica sólo entran controlador específico: Por ejemplo, para UserController:

/user/**=ROLE_ADMIN 
    /role/**=ROLE_ADMIN 

Para más información: http://www.grails.org/AcegiSecurity+Plugin+-+Securing+URLs

Saludos

Answer 2

Cuando se trata de permisos de puntos de vista y taglibs , puede usar el AuthorizeTagLib proporcionado por el complemento.

Por ejemplo, si no desea que un elemento de menú que aparecerá en su lista de usuarios no autenticados, es posible utilizar:

<g:isLoggedIn> 
    <li>Restricted Link</li> 
</g:isLoggedIn> 

Si tiene funciones más específicas definidas y esas funciones están vinculados a su solicitud de asignación de controlador/acción, puede utilizar otras etiquetas, tales como:

<g:ifAllGranted role="ROLE_ADMINISTRATOR"> 
    <li>Administrator Link</li> 
</g:ifAllGranted> 

En mi experiencia, todavía no es una buena manera de atar el mapeo solicitud a su margen de beneficio - Creo que vas a tener que utilice algunas de las etiquetas anteriores para limitar el acceso al contenido dentro de un GSP en particular.

Creo que Burt Beckwith tiene una modificación en el futuro (y actualmente proporciona un beta version) al complemento que integra algunas cosas de ACL que podrían resolver mejor este problema en el futuro, pero por ahora, creo que el mejor enfoque es mapa de solicitud híbrida + etiquetas GSP uno.

Answer 3

Por lo que yo sé, no parece que haya una manera fácil de hacerlo.

Usted puede inyectar una instancia de la griales AuthenticatedVetoableDecisionManager que es una clase concreta de AbstractAccessDecisionManager de la primavera al hacer esto:

def accessDecisionManager 

Esto tiene un método "decidir" en él que toma 3 parámetros

decide(Authentication authentication, Object object, ConfigAttributeDefinition config) 

Este es probablemente el método que necesitarías para llamar y pasar las cosas correctas para averiguar si el usuario con las credenciales de autenticación puede acceder a ese "objeto" (que parece que normalmente es una solicitud/respuesta). Algunas excavaciones adicionales podrían ser útiles aquí.

A corto plazo, probablemente sea más fácil usar el taglib ifAnyGranted como otro cartel menciona.

Answer 4

no estoy seguro acerca de maravilloso, pero en Java (por lo que asumen maravilloso también ...) que podría hacer (cheques, menos NPE):

GrantedAuthority[] authorities = SecurityContextHolder.getContext().getAuthentication().getAuthorities(); 
boolean isAdmin = false; 
for(GrantedAuthority authority : authorities) { 
    String role = authority.getAuthority(); 
    if(role != null && role.equals("ROLE_ADMIN")) { 
     isAdmin = true; 
     break; 
    } 
} 

En cuanto a saber si la acción o no es compatible, debe llamar al servicio RequestMap para obtener las funciones de la asignación y ver si contiene la función de usuario encontrado.

Answer 5

 
org.grails.plugins.springsecurity.service.AuthenticateService authenticateService = new org.grails.plugins.springsecurity.service.AuthenticateService() 
def isAdmin = authenticateService.ifAllGranted('ROLE_ADMIN') 

if(isAdmin) { 
    println 'I am Admin' 
} 

Answer 6

Esta pregunta es bastante antigua, pero pensé que publicaría al menos una respuesta que parece funcionar con Grails 2.0. Si está utilizando el complemento de seguridad Spring, hay una etiqueta lib incluida llamada grails.plugins.springsecurity.SecurityTagLib.

La etiqueta-lib tiene un método protegido, hasAccess() que puede tomar el mismo mapa de params que le da a la etiqueta g:. Entonces, si extiende SecurityTagLib, puede llamar a hasAccess() y obtener el comportamiento que desea. Por qué esto no se externaliza en un servicio que se puede inyectar está más allá de mí ya que la funcionalidad parece satisfacer una necesidad obvia.

Lo utilizamos para envolver el g: etiqueta de enlace y sólo generará un enlace del usuario tiene acceso a la página de destino:

def link = { attrs, body -> 
    if(hasAccess(attrs.clone(), "link")) { 
     out << g.link(attrs, body) 
    } 
    else { 
     out << body() 
    } 
} 

Answer 7

Para comprobar los papeles a la vista: complemento de seguridad de un resorte que proporciona ifAllGranted , ifAnyGranted, ifNoneGranted etc., etiquetas para comprobar papeles

Por ejemplo, para comprobar rol de administración de usuario conectado:

<sec:ifLoggedIn> 
    <sec:ifAllGranted roles="ROLE_ADMIN"> 
     Admin resource 
    </sec:ifAllGranted> 
</sec:ifLoggedIn> 

(probado en griales-2.2.2 y springSecurityCorePlugin-1.2.7.3)

Answer 8

No está seguro de la situación cuando fue publicada originalmente esta pregunta, pero ahora se puede comprobar para ver si un usuario está en un papel específico mediante el uso de SpringSecurityUtils.ifAllGranted() que toma una sola Cadena que es una lista de roles delimitada por comas. Volverá verdadero si el usuario actual pertenece a todos ellos.

if(SpringSecurityUtils.ifAllGranted('ROLE_ADMIN,ROLE_USER')) { 

Obviamente, puede simplemente pasar un rol a la función si eso es todo lo que necesita. SpringSecurityUtils también tiene métodos como ifAnyGranted, ifNotGranted, etc., por lo que debería funcionar para lo que sea que esté tratando de lograr.

SpringSecurityUtils es una API estática, por lo que no necesita crear un miembro privado llamado springSecurityUtils ni nada de eso.