1

Que dica você daria quando por exemplo um usuário não pode ter acesso a uma objeto X?

Por exemplo:

URL: /aluno/{id}

O usuário que é DIRETOR de uma escola tem acesso ao perfil de todos os alunos da escola que ele é diretor O usuário que é PROFESSOR de uma escola tem acesso ao perfil de todos os alunos das turmas que ele leciona

então como eu faria isso utilizando o SpringSecurity?


Mais uma coisa

Eu tenho uma tela onde faço busca por alunos, aquela famosa tela onde existem diversos filtros, paginacao e etc. Ali eu tambem queria fazer algo parecido com o requisito acima (da URL).

Eu iria querer que na tela de busca quando o usuário fosse um professor, na lista aparecesse somente os alunos das turmas que ele leciona e quando diretor da escola que ele dirige. Eu pensei numa forma interessante, mas não sei como injetar a implementacao correta no momento da criação do Controller MVC.

Exemplo:

public interface AlunoRepository {

    public List<Aluno> getAlunoByParams(Map<String, Object> params, int offset, int size);

}

Segue agora as implementações especificas pra cada PERFIL

Implementação especifica pro perfil de Professor

public class AlunoRepositoryImpl4Professor implements AlunoRepository {

    public List<Aluno> getAlunoByParams(Map<String, Object> params, int offset, int size){
        return // retorna uma lista somente dos alunos das turmas que ele seleciona de acordo com os parametros
    }

}

Implementação especifica pro perfil de Diretor

public class AlunoRepositoryImpl4Diretor implements AlunoRepository {

    public List<Aluno> getAlunoByParams(Map<String, Object> params, int offset, int size){
        return // retorna uma lista somente dos alunos da escola que ele dirige de acordo com os parametros
    }

}

Controller

@Controller
public class AlunoController {

    @AutoWired
    private AlunoRepository repository; // como injetar o AlunoRepository de acordo com o perfil que esta sendo utilizado aqui?

    @GET
    public List<Alunos> query(Map<String, Object> params, int offset, int size){
        return repository.getAlunoByParams(params, offset, size);
    }

}

1 Resposta 1

0

Perceba que suas seus métodos tem propósitos diferentes, então, seria interessante que separasse as responsabilidades da seguinte forma:

  • getAlunosByEscola Método pra retornar a lista de alunos da escola, fazendo um INNER JOIN com a tabela que armazena as informações de qual escola o diretor está vinculado.

  • getAlunosByTurma Método para retornar a lista de alunos das turmas do professor, fazendo um INNER JOIN com a tabela que armazena as informações de qual turma o professor está vinculado.

Você também pode definir permissões de perfil exclusivas para os seus métodos utilizando o @PreAuthorized ficando da seguinte forma:

@PreAuthorize("hasRole('DIRETOR')")
public List<Alunos> getAlunosByEscola(Map<String, Object> params, int offset, int size);

@PreAuthorize("hasRole('DIRETOR') AND hasRole('PROFESSOR')")
public List<Alunos> getAlunosByTurma(Map<String, Object> params, int offset, int size);

Mas, se sua arquitetura não permitir, outra solução que você pode tentar abordar, seria passar na sua lista de parâmetros alguma maneira de mudar o vinculo, ou seja, fazer um INNER JOIN diferente de acordo com a lista recebida.

Abraço.

Fonte:

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .