我有一些使用Spring MVC实现的RESTful服务,暴露了一组资源。我已经使用基于HTTPBasicAuthentication和HTTPS的身份验证。其中某些资源必须只能由某些用户访问。
例如,我想要在URI /users/{userid}/photos
中的所有子资源仅可由用户userid
访问。实际上,在我的应用程序中,它们可以被所有经过身份验证的用户访问。如何保护它们不被除userid
以外的其他用户访问?
如果我想要将此资源仅允许特定的一些用户(例如userid
的朋友)访问,该怎么做?
<security:global-method-security secured-annotations="enabled" />
以启用安全注释。 - user1781028@Secured
注解中指定像"userid"
这样的值吗?我无法让它工作,并且在我找到的所有示例中,它都用于指定角色,例如@Secured({ROLE_ADMIN})
。 - user1781028