精通 Grails: 身份验证和授权
基本授权
现在 Blogito 已经实现了身份验证，接下来是限制您所能执行的操作。例如，任何人都应当能够读取 Entry，但是只有登录用户能够创建、更新和删除 Entry。要达到这个目的，Grails 提供了一个 beforeInterceptor，顾名思义，它为您提供一个钩子，可以在调用目标闭包之前对行为进行授权。
将清单 7 中的代码添加到 EntryController：
清单 7. 向 EntryController 添加授权
class EntryController {
def beforeInterceptor = [action:this.&auth, except:["index", "list", "show"]]
def auth() {
if(!session.user) {
redirect(controller:"user", action:"login")
return false
}
}
def list = {
//snip...
}
}
def beforeInterceptor = [action:this.&auth, except:["index", "list", "show"]]
def auth() {
if(!session.user) {
redirect(controller:"user", action:"login")
return false
}
}
def list = {
//snip...
}
}
auth 和 list 之间微妙但重要的一点区别是 list 是一个闭包，而 auth 是一个私有方法(闭包在定义中使用等号;方法使用圆括号)。闭包以 URI 的形式被公开给最终用户;方法则无法从浏览器中进行访问。
auth 方法将执行检查，查看某个 User 是否在会话中。如果不在的话，它将重定向到登录屏幕并返回 false，阻塞初始的闭包调用。
在 beforeInterceptor 调用每个闭包之前，auth 方法将得到调用。该操作使用 Groovy 标记来指向 this 类的 auth 方法，该方法使用了 ampersand(&)字符。except 列表包含了应当从 auth 调用中移除的闭包。如果希望拦截一些闭包调用，可以使用 only 替换 except(有关 beforeInterceptor 的更多信息，参见 参考资料)。
重新启动 Grails 并测试 beforeInterceptor。尝试在未登录的情况下访问 http://localhost:9090/blogito/entry/create。您应当被重定向到登录屏幕。以 jsmith 身份登录并重新尝试。这一次您应当能够成功创建新的 Entry。
0
相关文章
关注我们
