配置JIRA自定义REST端点：jira-users组权限校验方式是否正确？

当前实现的正确性 #

你用httpMethod: "GET", groups: ["jira-users"]的方式是完全正确的。ScriptRunner的CustomEndpointDelegate原生支持通过groups参数指定允许访问端点的用户组，同时这个机制会自动拦截未登录的用户——未登录用户不属于任何JIRA用户组，自然无法通过校验。

其他可行的实现方式 #

除了直接指定用户组，还有几种适配不同场景的实现方案：

1. 手动校验登录状态与用户组

如果需要在权限校验后添加额外逻辑（比如自定义错误响应、日志记录），可以在端点逻辑内手动完成校验：

callMounaBulkSplitter(httpMethod: "GET") {
  MultivaluedMap queryParams, String body ->
  def authContext = ComponentAccessor.jiraAuthenticationContext
  def user = authContext.loggedInUser
  
  // 校验是否登录
  if (!user) {
    return Response.status(Response.Status.UNAUTHORIZED).entity("未登录用户无法访问").build()
  }
  
  // 校验是否属于jira-users组
  def groupManager = ComponentAccessor.groupManager
  if (!groupManager.isUserInGroup(user, "jira-users")) {
    return Response.status(Response.Status.FORBIDDEN).entity("无访问权限").build()
  }
  
  // 后续原有逻辑...
}

2. 基于JIRA内置权限校验

如果希望贴合JIRA原生的权限体系（而非直接绑定用户组），可以用permissions参数指定需要的权限，比如要求用户拥有「浏览项目」权限：

callMounaBulkSplitter(httpMethod: "GET", permissions: ["BROWSE_PROJECTS"]) {
  MultivaluedMap queryParams, String body ->
  // 原有逻辑...
}

这种方式的好处是：后续如果权限体系调整（比如把浏览权限从jira-users组转移到其他组），无需修改端点代码，直接通过JIRA权限方案调整即可。

3. 细粒度的自定义权限校验

如果需要更复杂的权限控制（比如仅允许特定项目的用户、或自定义业务权限），可以调用JIRA的权限API做校验：

callMounaBulkSplitter(httpMethod: "GET") {
  MultivaluedMap queryParams, String body ->
  def user = ComponentAccessor.jiraAuthenticationContext.loggedInUser
  if (!user) {
    return Response.status(Response.Status.UNAUTHORIZED).build()
  }
  
  def issueId = queryParams.getFirst("issueId") as Long
  Issue myissue = ComponentAccessor.getIssueManager().getIssueObject(issueId)
  
  // 校验用户是否有权限查看该issue（示例）
  def permissionManager = ComponentAccessor.permissionManager
  if (!permissionManager.hasPermission(com.atlassian.jira.permission.ProjectPermissions.BROWSE_PROJECTS, myissue, user)) {
    return Response.status(Response.Status.FORBIDDEN).build()
  }
  
  // 后续原有逻辑...
}

总结 #

• 你的原始实现简单高效，适合直接基于用户组做权限控制的场景；
• 如果需要更灵活的校验逻辑或贴合JIRA原生权限体系，可以选择手动校验或基于权限的方案。

内容的提问来源于stack exchange，提问作者منى