Шестой раунд улучшений в приложении Reddit

1. обзор

В этой статье мы почти завершим улучшения вReddit application.

2. Безопасность командного API

Во-первых, мы собираемся проделать некоторую работу, чтобы обезопасить командный API, чтобы предотвратить манипулирование ресурсами другими пользователями, кроме владельца.

2.1. конфигурация

Начнем с включения использования@Preauthorize в конфигурации:

@EnableGlobalMethodSecurity(prePostEnabled = true)

2.2. Команды авторизации

Затем давайте авторизуем наши команды на уровне контроллера с помощью некоторых выражений Spring Security:

@PreAuthorize("@resourceSecurityService.isPostOwner(#postDto.id)")
@RequestMapping(value = "/{id}", method = RequestMethod.PUT)
@ResponseStatus(HttpStatus.OK)
public void updatePost(@RequestBody ScheduledPostUpdateCommandDto postDto) {
    ...
}

@PreAuthorize("@resourceSecurityService.isPostOwner(#id)")
@RequestMapping(value = "/{id}", method = RequestMethod.DELETE)
@ResponseStatus(HttpStatus.NO_CONTENT)
public void deletePost(@PathVariable("id") Long id) {
    ...
}

@PreAuthorize("@resourceSecurityService.isRssFeedOwner(#feedDto.id)")
@RequestMapping(value = "/{id}", method = RequestMethod.PUT)
@ResponseStatus(HttpStatus.OK)
public void updateFeed(@RequestBody FeedUpdateCommandDto feedDto) {
    ..
}

@PreAuthorize("@resourceSecurityService.isRssFeedOwner(#id)")
@RequestMapping(value = "/{id}", method = RequestMethod.DELETE)
@ResponseStatus(HttpStatus.NO_CONTENT)
public void deleteFeed(@PathVariable("id") Long id) {
    ...
}

Обратите внимание, что:

Мы используем «#» для доступа к аргументу метода - как и в#id
Мы используем «@» для доступа к bean-компоненту, как в@resourceSecurityService

2.3. Служба безопасности ресурсов

Вот как выглядит служба, отвечающая за проверку права собственности:

@Service
public class ResourceSecurityService {

    @Autowired
    private PostRepository postRepository;

    @Autowired
    private MyFeedRepository feedRepository;

    public boolean isPostOwner(Long postId) {
        UserPrincipal userPrincipal = (UserPrincipal)
          SecurityContextHolder.getContext().getAuthentication().getPrincipal();
        User user = userPrincipal.getUser();
        Post post = postRepository.findOne(postId);
        return post.getUser().getId() == user.getId();
    }

    public boolean isRssFeedOwner(Long feedId) {
        UserPrincipal userPrincipal = (UserPrincipal)
          SecurityContextHolder.getContext().getAuthentication().getPrincipal();
        User user = userPrincipal.getUser();
        MyFeed feed = feedRepository.findOne(feedId);
        return feed.getUser().getId() == user.getId();
    }
}

Обратите внимание, что:

isPostOwner(): проверьте, владеет ли текущий пользовательPost с заданнымpostId
isRssFeedOwner(): проверьте, владеет ли текущий пользовательMyFeed с заданнымfeedId

2.4. Обработка исключений

Далее мы просто обработаемAccessDeniedException следующим образом:

@ExceptionHandler({ AuthenticationCredentialsNotFoundException.class, AccessDeniedException.class })
public ResponseEntity

TOC

Шестой раунд улучшений в приложении Reddit