在spring boot apis中添加安全漏洞检查的最佳方法。

Posted 2023-01-08

我有一个问题，我在多租户数据库中使用了spring，我写了rest api并使用spring token来验证用户。我已经写了 rest api 并使用 spring token 来验证用户。对于所有的API，我们都在传递模块id的getputdelete操作。在这里，我想添加一个普通的安全检查，比如securityInterceptor。在spring中添加安全检查的最佳方法是什么，以便没有人可以看到不同租户的数据？

答案

使用Spring安全注解@PreAuthorize(预先授权)

你可以将检查客户端是否被授权的逻辑传递给这个注解。

@PreAuthorize("localAuthorizationResolver.canAccessData(#pathVariable)

LocalAuthorizationResolver被注解为@Service。在canAccessData方法中，你可以通过调用获得包含用户信息的安全上下文。

SecurityContextHolder.getContext().getAuthentication()