Jak @PreAuthorize mające wyższy priorytet niż @Valid lub @Validated

Question

Używam bagażnik wiosna, a ja umożliwiły globalne bezpieczeństwo metody w WebSecurityConfigurerAdapter przez

@EnableGlobalMethodSecurity(prePostEnabled = true, order = Ordered.HIGHEST_PRECEDENCE) 

I Poniżej jest mój kod kontrolera

@PreAuthorize("hasAnyRole('admin') or principal.id == id") 
@RequestMapping(value = "/{id}", method = RequestMethod.PUT) 
public User updateUser(@PathVariable("id") String id, @Valid @RequestBody UserDto userDto) 
{ ....} 

Jednak, gdy użytkownik niebędący administratorem próbuje wykonać żądanie PUT, walidator JSR303 zostanie uruchomiony przed @PreAuthorize. Na przykład użytkownik, który nie jest administratorem, otrzymywał coś w stylu "imię jest wymagane" zamiast "odmowa dostępu". Ale po podaniu przez użytkownika pierwszej zmiennej imienia, aby przekazać walidator, zwracano odmowę dostępu.

Czy ktoś wie, jak wymusić sprawdzenie @PreAuthorize przed sprawdzeniem @Valid lub @Validated?

I muszę użyć tego rodzaju autoryzacji na poziomie metody zamiast autoryzacji opartej na adresach URL, aby przeprowadzić pewne skomplikowane sprawdzanie reguł.

Answer 1

W tym samym scenariuszu znalazłem zalecenia dotyczące wdrożenia zabezpieczeń za pomocą filtrów sprężynowych.
Oto podobny wpis: How to check security acess (@Secured or @PreAuthorize) before validation (@Valid) in my Controller?

Ponadto, może inne podejście - spróbuj użyć walidacji poprzez rejestracji niestandardową walidatora w @InitBinder (zatem pominąć @valid adnotacji).

Aby uzyskać dostęp do głównego przedmiotu w klasie filtra:

SecurityContextImpl sci = (SecurityContextImpl)  
session().getAttribute("SPRING_SECURITY_CONTEXT"); 

if (sci != null) { 
    UserDetails cud = (UserDetails) sci.getAuthentication().getPrincipal(); 

} 

W tym przypadku/{id} jest param ścieżki w adresie URL. Aby uzyskać dostęp do parametrów ścieżki w klasie filtra lub przechwytywania:

Answer 2

Miałem ten sam problem i znalazłem ten wpis. Komentarz M. Deinum pomaga mi zrozumieć, co się dzieje źle

Oto co zrobiłem:

1. Metoda publiczna ma @PreAuthorize i zrobić Skontrolować
2. Istnieje NO @ Poprawne w parametrze @RequestBody
3. Tworzę drugą metodę, prywatną, gdzie I do zatwierdzenia DTO. Korzystanie z adnotacji @Valid
4. Publiczne metody przekazują połączenie do prywatnego. Prywatna metoda jest wywoływana tylko jest metoda publiczna jest upoważniony

Przykład:

@RequestMapping(method = RequestMethod.POST) 
@PreAuthorize("hasRole('MY_ROLE')") 
public ResponseEntity createNewMessage(@RequestBody CreateMessageDTO createMessageDTO) { 
    // The user is authorized 
    return createNewMessageWithValidation(createMessageDTO); 
} 

private ResponseEntity createNewMessageWithValidation(@Valid CreateMessageDTO createMessageDTO) { 
    // The DTO is valid 
    return ... 
}