O sistema de decisão do Spring Framework
Após uma análise mais profunda da estrutura do Spring resolvi a questão com um Spring Bean que implementa a interface AccessDecisionVoter
. Um Voter (Votador) é uma classe que que o Spring invoca para dizer se determinada credencial pode acessar determinado recurso num determinado contexto.
O Spring permite encadear (chain) diversos Voters para tomar uma certa decisão. Cada Voter vota a favor, contra ou se abstém da decisão. A decisão final é do AccessDecisionManager
, que possui as seguintes implementações:
AffirmativeBased
: permite o acesso se pelo menos um Voter votou a favor.
UnanimousBased
: permite o acesso apenas se todos votaram a favor, ignorando as abstenções.
ConsensusBased
: permite ou nega o acesso de acordo com a maioria.
Dessa forma, eu posso implementar diferentes Voters que respondem a diferentes situações e se abstém das demais. Além disso, escolho a estratégia de decisão que melhor se enquadra ao meu sistema.
As afirmações acima podem ser melhores compreendidas com o diagrama a seguir:

Observação: foi me dada a sugestão de estender AccessDecisionManager
, o que resolveria o problema, mas ao mesmo tempo sobrescreveria praticamente por completo o Spring Security. Então pareceu-me melhor atuar num ponto mais específico.
Implementação
Criar um Voter não é uma tarefa complexa, mas foram necessários vários testes para entender bem o funcionamento, os valores recebidos nos parâmetros e o comportamento em geral do framework, pois não há uma documentação detalhada sobre isso. Abaixo está uma implementação simplificada do que fiz, sem código específico do meu domínio:
public class CustomVoter implements AccessDecisionVoter<Object> {
final protected Logger logger = LoggerFactory.getLogger(getClass());
@Override
public boolean supports(ConfigAttribute attribute) {
return true;
}
@Override
public boolean supports(Class<?> clazz) {
return true;
}
@Override
public int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
logger.info("### Controle de Acesso ###");
//verifica se as credenciais são do tipo esperado
if (authentication.getPrincipal() instanceof CustomUserDetails) {
CustomUserDetails user = (CustomUserDetails) authentication.getPrincipal();
GerenciadorPermissao gerenciadorPermissao = user.getGerenciadorPermissao();
//variável de sessão (HTTP) armazenada numa determinada tela via JSF
HttpSession session = (HttpSession) FacesContext.getCurrentInstance().getExternalContext().getSession(true);
Integer variavelSessao = (Integer) session.getAttribute("variavelSessao");
Boolean result = null;
for (ConfigAttribute configAttribute : attributes) {
String attr = configAttribute.getAttribute();
if (attr.equals("ROLE_USER")) {
//ROLE_USER é a ROLE de usuário, logado, então retorna true sempre
result = true;
} else {
//chama uma lógica específica que verifica se o usuário possui permissão no contexto atual
result = gerenciadorPermissao.verificarPermissao(variavelSessao, attr);
}
}
if (result == null || result == Boolean.FALSE) {
logger.info(" -> Acesso Negado!");
return ACCESS_DENIED;
} else {
logger.info(" -> Acesso Permitido!");
return ACCESS_GRANTED;
}
} else {
System.out.println(" -> Não é do tipo CustomUserDetails!");
return ACCESS_ABSTAIN;
}
}
}
Alguns pontos relevantes do código acima:
- O método
vote()
é chamado pelo Spring sempre que ele precisa tomar uma decisão.
- O primeiro parâmetro, do tipo
Authentication
, retorna informações sobre o login atual.
- O método
getPrincipal
da instância de Authentication
retorna as informações do usuário que eu defini no momento do login. No caso é uma instância de CustomUserDetails
, que implementa a interface UserDetails
do Spring.
- Como pode ser visto, não é nada complicado acessar valores da sessão (
HttpSession
) em sistemas web com JSF.
- O parâmetro do tipo
Object
retorna o recurso sendo acessado. Dependendo do contexto, pode ser a URL de uma página, pode ser uma referência a um método, etc.
- O último parâmetro contém uma lista dos atributos, regras ou papéis que devem ser verificadas.
Configuração
O documento XML a seguir é uma simplificação da configuração do Spring Security usada na minha aplicação. Publiquei-o na íntegra, pois em alguns exemplos que encontrei em outros sites não ficava claro como um bean se relacionava com os demais.
Em suma, a configuração contém:
- Definições gerais do Spring Security.
- Declaração do Voter e a respectiva associação com um
AccessDecisionManager
do tipo UnanimousBased
.
- Segurança de algumas páginas associadas ao
AccessDecisionManager
declarado.
<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="
http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.1.xsd
http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.2.xsd">
<!-- Configura o servlet filter do Spring Security -->
<beans:bean id="springSecurityFilterChain" class="org.springframework.security.web.FilterChainProxy">
<beans:constructor-arg>
<beans:list>
<filter-chain filters="securityContextPersistenceFilter" pattern="/**" />
</beans:list>
</beans:constructor-arg>
</beans:bean>
<beans:bean id="securityContextPersistenceFilter" class="org.springframework.security.web.context.SecurityContextPersistenceFilter">
<beans:property name="forceEagerSessionCreation" value="true" />
</beans:bean>
<!-- Configura handlers para sucesso de autenticação, falha de autenticação e acesso negado a um determinado recurso -->
<beans:bean
id="customAuthenticationSuccessHandler"
class="br.com.starcode.commons.security.CustomAuthenticationSuccessHandler" />
<beans:bean
id="customAuthenticationFailureHandler"
class="br.com.starcode.commons.security.CustomAuthenticationFailureHandler" />
<beans:bean
id="customAccessDeniedHandler"
class="br.com.starcode.commons.security.CustomAccessDeniedHandler" />
<!-- Voter customizado -->
<beans:bean id="customVoter" class="br.com.starcode.commons.security.CustomVoter" />
<!-- Define AccessDesisionManager como UnanimousBased e coloca o Voter na lista -->
<beans:bean id="accessDecisionManager" class="org.springframework.security.access.vote.UnanimousBased">
<beans:constructor-arg>
<beans:list>
<beans:bean class="org.springframework.security.access.vote.AuthenticatedVoter" />
<beans:ref bean="customVoter" />
</beans:list>
</beans:constructor-arg>
</beans:bean>
<!-- Configura a criptografia (hash) da senha -->
<beans:bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder">
<beans:constructor-arg>
<beans:value>11</beans:value>
</beans:constructor-arg>
</beans:bean>
<!-- Configura o AuthenticationManager com os beans da aplicação -->
<authentication-manager alias="authenticationManager">
<authentication-provider user-service-ref="accessControlService">
<password-encoder ref="passwordEncoder" />
</authentication-provider>
</authentication-manager>
<!-- Não coloca segurança em Javascript, CSS e outros recursos "estáticos" do JSF -->
<http pattern="/javax.faces.resource/**" security="none" />
<!-- Não coloca segurança na tela de login -->
<http pattern="/login.xhtml*" security="none" />
<!-- Define a segurança para os demais recursos -->
<http auto-config="true" use-expressions="false" access-decision-manager-ref="accessDecisionManager">
<!-- Referência ao controlador de Acesso Negado -->
<access-denied-handler ref="customAccessDeniedHandler" />
<!-- Informações da página de login e dos handlers de sucesso e falha -->
<form-login
login-page="/login.xhtml"
authentication-success-handler-ref="customAuthenticationSuccessHandler"
authentication-failure-handler-ref="customAuthenticationFailureHandler" />
<!-- Página de logout, desloga o usuário ao ser chamada -->
<logout logout-url="/logout.xhtml" />
<!-- Acesso à página inicial para qualquer usuário logado -->
<intercept-url access="ROLE_USER" pattern="/index.xhtml*" />
<!-- permissões específicas para as telas -->
<intercept-url access="permissao.tela.1" pattern="/tela1.xhtml" />
<intercept-url access="permissao.tela.2" pattern="/tela2.xhtml" />
<intercept-url access="permissao.tela.N" pattern="/telaN.xhtml" />
<!-- nega acesso a qualquer outra tela -->
<intercept-url access="NO_ACCESS" pattern="/**.xhtml" />
</http>
<!-- Permite anotar métodos -->
<global-method-security
secured-annotations="enabled"
jsr250-annotations="enabled"
pre-post-annotations="enabled" />
</beans:beans>