关于如何设置JAX-RS API,有许多很好的资源和文献。然而,我还没有找到任何合适的资源来描述如何对特定的资源和方法进行安全限制。例如,给定一个资源PictureResource,只有图片的上传者(和管理员)应该能够删除或更改与该图片相关的属性,而任何人都应该能够查看该图片。然后,标识用户的令牌将描述谁在进行呼叫。这可以通过解决。picture, only available for the uploader of
假设我有一个最小的RESTful控制器,如下所示,顺便说一下,使用Java8和Spring 2,.现在,我希望只允许资源所有者访问该资源。be true when access is granted
我发现了很多关于基于角色的访问,但几乎没有检查所有权.当然,我可以在控制器中放置一个if语句并抛出一个异常,但是我打算使用类似Spring的基于表达式的访问控制。对于资源的所有权检查,有人有一个好的想法