1

Tengo un proyecto creado con Spring Security y Spring MVC, y tengo una url de la siguiente forma:

universidad/acceso/infoNotas?idEstudiante=20

Resulta que al definir el acceso a la URL, está definida para el rol de docente de la siguiente forma:

.antMatchers("/acceso/**").access("hasRole('ROLE_DOCENTE')")

pero cada docente tiene un listado de cursos a los cuales puede acceder y solo debería ver las notas de los estudiantes para los cursos que el dicte; si copio la URL desde el áea de trabajo de cualquier profesor así dicho profesor no este vinculado con el curso al cual pertenezca el estudiante cuyo idEstudiante se referencia en la URL, puede ver sus notas, tengo la duda de como resolver ese problema de seguridad y me pregunto si tiene que ver con el manejo de sesiones y si alguien tiene una pista de como debería proceder. Muchas gracias

1
  • Se me ocurre que utilices programación orientada a aspectos para que puedas realizar la comprobación correspondiente (si el docente tiene dentro de sus cursos al estudiante con el id que viene en la URL de la petición) y si falla esta, retornas un código 403. Commented el 12 feb. 2018 a las 2:31

1 respuesta 1

2

Asumiendo que, como tienes Spring Security, has tenido que

  1. Implementar org.springframework.security.core.userdetails.UserDetailsService.
  2. Implementar, por tanto, org.springframework.security.core.userdetails.UserDetails

entonces tienes un bean que tiene la información que tú quieras del usuario con una sesión abierta.

A partir de aquí tienes dos opciones sencillas (posiblemente haya más, pero son las que he usado en algún momento y son sencillas):

Opción A: Hacer que todos tus controladores extiendan de una clase padre que tenga un método para obtener el usuario:

@Controller
public abstract class BaseController {
    protected MiUser getLoggedUser() {
        return (MiUser) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
    }
}

De este modo en cualquier controlador podrás obtener el usuario y filtrar tus búsquedas.

Opción B: Añadir en cada método de los controladores el parámetro a inyectar por Spring:

public ResponseEntity<List<Alumnos>> getAlumnos(@AuthenticationPrincipal MiUser principal) {
    ...
}

De este modo puedes hacer que un docente sólo vea los alumnos que le correspondan, o que sólo pueda ver los detalles de un alumno si está asociado a dicho docente de algún modo.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.