spring-boot - Spring Boot 保护用户数据 URL 修改

Question

我正在使用带有安全性的 spirng boot 来创建习惯跟踪器。我得到了我的数据库、用户和目标。问题是我可以访问其他用户目标并通过更改 URL 中的目标 ID 来编辑它们。

解决办法是什么？我应该对网址进行编码还是做其他事情？

标签： spring-bootweb-deployment

Answer 1

这些就是所谓的 ACL。对于复杂的应用程序，请阅读此处：https ://docs.spring.io/spring-security/site/docs/current/reference/html5/#domain-acls

为了方便 id chicking，您可以使用方法级别的安全性，例如。@PreAuthorize。这里：https ://docs.spring.io/spring-security/site/docs/current/reference/html5/#el-pre-post-annotations

示例：http ://websystique.com/spring-security/spring-security-4-method-security-using-preauthorize-postauthorize-secured-el/