[Security] Comment utiliser le tag "authorize" avec des droits dynamiques [Résolu]

[andlio]

Bonjour tout le monde,

J'utilise Spring 3 et spring Security pour le développement d'une application web.

L'utilisateur possède plusieurs "types" de droits :

• applicatif : administrateur, manager, collaborateur...
• projet : coordinateur, planificateur...

Il ne possède qu'un seul role applicatif, mais peut participer à plusieurs projets et avoir plusieurs rôles au sein d'un même projet.

Lors de l'affichage d'un projet, suivant son (ou ses) rôle(s) au sein de ce projet, certains éléments doivent être affichés ou non.

Le tag <sec:authorize> fonctionne donc parfaitement avec les droits applicatifs mais pose problème avec les droits "projets" puisque l'attribut "ifAnyGranted" doit être saisi en dur dans le code JSP. Par exemple :

Code :

1
2
3
<sec:authorize ifAnyGranted ="ROLE_ADMIN,ROLE_MNGR">
     ...
</sec>

Je ne peux pas écrire par exemple "<sec:authorize ifAnyGranted ="ROLE_PLANIFICATEUR">" puisqu'il faut que l'utilisateur ait le role ROLE_PLANIFICATEUR pour le projet affiché.

Comment l'adapter à ma situation ?

[lewarrior22]

Salut,
Pour simuler la dynamicite des droits, j'atomise les roles aux fonctionalites de l'application. Donc chaque fonction (du menu) possede un droit. Et, je fais donc varier ces droits chez les utilisateurs.
par exemple :
<sec:authorize if="UNE_TACHE_ADMIN">
...
</sec:authorize>
<sec:authorize if="CREER_COORDINATION">
...
</sec:authorize>
<sec:authorize if="MODIFIER_COORDINATION">
...
</sec:authorize> ainsi de suite.

[JeitEmgie]

Code :

1
2
 
<sec:authorize access="SpEL_Expression" />

avec Spring 3.x, le fait que "access" accepte un expression SpEL doit vous permettre de faire ce que vous voulez.

et vous avez aussi

Code :

1
2
3
 
<sec:accesscontrollist hasPermission="SOME_PERM" domainObject="SOME_OBJECT">
…

à condition d'ajouter le module Spring Security's ACL.

[andlio]

Bonjour,

Je ne connaissais pas du tout les expressions SpEL. C'est intéressant.
J'avais également lu des articles sur les accessControlList, mais ça me paraissait difficile à mettre en place.

J'ai développé mon propre taglib. Il fonctionne un peu comme le tag Authorize de Spring Security, mais fait appel à mon ProjectVoter...

Merci pour vos conseils.

[lewarrior22]

Salut,
Merci pour ta reponse. Je vais egalement m'y mettre.