Как сделать олицетворение весной

Question

У нас есть несколько порталов Портал-работодатель, Портал-сотрудник и Портал-администратор. Все три портала развертываются отдельно. Все порталы соответствуют шаблону spring-mvc. И мы использовали весеннюю безопасность и использовали openId для входа и выхода из системы.

Теперь мы хотим предоставить админ-портал, что администратор может выдавать себя за сотрудника и работодателя и делать что-то от их имени.

Может ли какой-либо орган с предыдущим опытом руководствоваться моим способом работы над ним или может поделиться любой хорошей статьей, которую я могу прочитать, чтобы получить хорошее знание.

Спасибо,

Answer 1

Из Вашего вопроса, это не звучит, как вы действительно хотите «runAsManager».

Одним из способов было бы использовать что-то вроде «олицетворяющего» метода, который сам должен быть обеспечен, конечно, возможно, используя аннотации безопасности уровня метода.

Для этого, вы можете использовать что-то вроде:

@PreAuthorize("hasRole('ROLE_ADMIN')") 

По существу, то, что вам нужно сделать, это создать объект аутентификации и заполнить контекст безопасности (ThreadLocal) с этим.

Что-то вроде:

Authentication other = createAuthentication(someUsername); //Implement this 
SecurityContextHolder.getContext().setAuthentication(other); 

я могу увидеть привлекательность этого подхода, но, конечно же, является ли это хорошая идея, зависит от того, что вы позволяете админы делать от имени пользователя. Потратьте свои деньги? Смотрите их электронные письма? Если прецедент действителен, по крайней мере, проверите этот вид операции.

Как только вы выдаете себя за другого пользователя, текущий пользователь должен будет выйти из системы и снова войти в систему, чтобы вернуться к своей учетной записи.