Grails Acegi 安全性：角色和访问问题

问题描述 投票：0回答：1

我的应用程序中有一些奇怪的行为。

我在 User 类（由 Acegi 创建）中添加了几个字段，这样我就可以设置过期密码、记录最后 N 个密码等。我们有 9 个角色，

ROLE_ADMIN
是可以访问所有功能的“超级用户”。

部署应用程序后，用户开始抱怨无法使用它。他们可以登录，但每当他们想去某个地方时，他们的访问就会被拒绝，就好像他们没有角色一样。

除了管理员（只有 

ROLE_ADMIN
）之外，每个用户都会发生这种情况，包括具有（
ROLE_ADMIN
+ 其他角色）的用户。

我什至不知道从哪里开始。

更新

我已经检查过，用户来自附加了角色的数据库。

在 SecurityConfig.groovy 文件中检查角色。我担心问题出在其他地方，因为我有一个实际有效的项目的标记版本。

这是我的 SecurityConfig.groovy：

import com.mycompany.myapp.audit.Auditoria

security {

    // see DefaultSecurityConfig.groovy for all settable/overridable properties

    active = true

    loginUserDomainClass = "com.mycompany.myapp.user.User"
    authorityDomainClass = "com.mycompany.myapp.user.Role"
    requestMapClass = "com.mycompany.myapp.user.Requestmap"

    useRequestMapDomainClass = false

    /** authenticationEntryPoint */
    loginFormUrl = '/login/auth'
    forceHttps = 'false'
    ajaxLoginFormUrl = '/login/authAjax'
    authenticationFailureUrl = '/login/authfail'
    

    afterLogoutUrl = '/login/auth'

    requestMapString = """\
            CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
            PATTERN_TYPE_APACHE_ANT

            /=IS_AUTHENTICATED_REMEMBERED
            /login/auth=IS_AUTHENTICATED_ANONYMOUSLY
            /login/authajax=IS_AUTHENTICATED_ANONYMOUSLY
            /login/authfail=IS_AUTHENTICATED_ANONYMOUSLY
            /login/renew=IS_AUTHENTICATED_ANONYMOUSLY
            /js/**=IS_AUTHENTICATED_ANONYMOUSLY
            /css/**=IS_AUTHENTICATED_ANONYMOUSLY
            /images/**=IS_AUTHENTICATED_ANONYMOUSLY
            /plugins/**=IS_AUTHENTICATED_ANONYMOUSLY
           
            
            /scan/uploadfile=IS_AUTHENTICATED_ANONYMOUSLY
            /ticket/uploadfile=IS_AUTHENTICATED_ANONYMOUSLY
            /analisis/list =ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_OP_FUNCIONAL, ROLE_ADMIN
            /analisis/hazzards/**=ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_OP_FUNCIONAL, ROLE_ADMIN
            /analisis/show/**=ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_ADMIN
            /analisis/create/**=ROLE_SUP_TECNICO, ROLE_ADMIN
            /analisis/edit/**=ROLE_SUP_TECNICO,ROLE_ADMIN
            /hazzardsreport/**=ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_OP_FUNCIONAL, ROLE_REPORTE_VULNERABILIDAD, ROLE_ADMIN
            /mistaken/**=ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_ADMIN
            /hazzardtype/**=ROLE_SUP_TECNICO, ROLE_ADMIN

            /** MODULO NORMAS */
            /report/**=ROLE_OP_FUNCIONAL, ROLE_ADMIN
            /norm/**=ROLE_OP_FUNCIONAL, ROLE_ADMIN

            /** TICKETS */
            /ticket/**=ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_ADMIN
            /alert/**=ROLE_SUP_TECNICO, ROLE_OP_TECNICO, ROLE_ADMIN
            /ticket/uploadfile=IS_AUTHENTICATED_ANONYMOUSLY

            /** RISKS */
            /project/**=ROLE_AN_RIESGOS, ROLE_ADMIN
            /riskreport/**=ROLE_AN_RIESGOS, ROLE_ADMIN, ROLE_REPORTE_RIESGO
            
        /** BUSINESS CONTINUITY*/
            /projectpcn/**=ROLE_AN_PCN, ROLE_ADMIN
        /businessuniteval/** = ROLE_AN_PCN, ROLE_ADMIN
        /subprocesseval/** = ROLE_AN_PCN, ROLE_ADMIN
        /failscenario/**=ROLE_AN_PCN, ROLE_ADMIN
        /strategy/**=ROLE_AN_PCN, ROLE_ADMIN
        /test/**=ROLE_AN_PCN, ROLE_ADMIN
        /reportepcn/**=ROLE_AN_PCN, ROLE_ADMIN, ROLE_REPORTE_PCN
        /process/**=ROLE_AN_PCN, ROLE_ADMIN
            
            
        /** ADMIN */
            /user/changeent=IS_AUTHENTICATED_REMEMBERED
            /user/finduser=IS_AUTHENTICATED_REMEMBERED
            /user/**=ROLE_ADMIN
            /role/**=ROLE_ADMIN
            /requestmap/**=ROLE_ADMIN
        /empresa/**=ROLE_ADMIN
        /asset/**=ROLE_ADMIN, ROLE_SUP_TECNICO, ROLE_OP_TECNICO
        /responsable/**=ROLE_ADMIN
        /preference/**=ROLE_ADMIN
        /businessunit/**=ROLE_ADMIN, ROLE_AN_PCN
                    
                    
            /**=IS_AUTHENTICATED_REMEMBERED
        """


    useSecurityEventListener = true
   
    onInteractiveAuthenticationSuccessEvent = { e, appCtx ->
        Auditoria.log(e.getSource().getPrincipal().getDomainClass(), "Usuario autenticado - " + e.getSource().getDetails().getRemoteAddress())
    }

}

更新 - 记录冗长且无注释/换行符

更新我的

SecurityConfig.groovy
后，错误仍然存在。不过，我已经检索了该日志行。我尝试使用分配有全部 9 个角色的用户访问 
/norm/index
。

调试 2010 年 12 月 28 日 00:12:57,110 [http-8080-3] 安全对象：FilterInspiration：URL：/norm/index；配置属性：[ROLE_OP_FUNCIONAL、ROLE_ADMIN]

org.springframework.security.intercept.AbstractSecurityInterceptor

  • 之前已验证：org.springframework.security.providers.UsernamePasswordAuthenticationToken@a00c7ad6： 主要的： com.baufest.insside.security.UserLoginDetails@0:

用户名：someuser；密码保护];启用：真；帐户未过期：true；凭证未过期：true； 帐户非锁定：true；的确 权限：ROLE_OP_TECNICO； 密码保护]; 已验证：真实；

详细信息：org.springframework.security.ui.WebAuthenticationDetails@0：授予权限：ROLE_OP_TECNICO

调试 2010 年 12 月 28 日 00:12:57,110 [http-8080-3] org.springframework.security.ui.ExceptionTranslationFilter

  • 访问被拒绝（用户不是匿名的）；委托给 AccessDeniedHandler

对于我在这里读到的内容，我的 User 似乎只获得了 1 个角色，即使当我调试它时， user.authorities 也分配了所有 9 个角色。

解决方案

好吧，事实证明，我的 Role 类中的 

compareTo
方法（Role 实现了 GrantedAuthority）始终返回 0。因此每个用户只有一个角色（因为它们存储在 Set 中）。

security grails spring-security user-roles
1个回答
0
投票

编辑--

从文档来看，requestMapString 应该采用以下形式

requestMapString = '''CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON 
                      PATTERN_TYPE_APACHE_ANT 
                      /login/**=IS_AUTHENTICATED_ANONYMOUSLY 
                      /admin/**=ROLE_USER
                      /book/test/**=IS_AUTHENTICATED_FULLY
                      /book/**=ROLE_SUPERVISOR
                   '''

一些注意事项：

1) 请求映射字符串中有额外的换行符和注释。 requestMapString 是一个多行字符串（查看“一个长字符串”格式），因此 Acegi 机制将尝试解析/使用注释。

最新问题
© www.soinside.com 2019 - 2024. All rights reserved.