如何为SpringBoot/Spring-Data Rest实现对象部分字段权限控制？

嘿，这个场景我太熟悉了！Spring Security的pre/post注解确实只能管到接口或者方法层面，没法直接精细到字段级权限。不过针对你用Spring Boot + Spring Data REST的情况，有几个实用的方案可以完美解决，我给你详细说说：

这是最贴合Spring Data REST生态的方案，通过定义不同的投影接口，给不同角色返回对应字段的视图。

首先创建两个投影接口，分别对应staff和admin的权限：

// 给staff角色用的基础信息投影
@Projection(name = "basicUser", types = User.class)
public interface BasicUserProjection {
    String getName();
    Integer getAge();
}

// 给admin角色用的全字段投影
@Projection(name = "fullUser", types = User.class)
public interface FullUserProjection {
    String getId();
    String getName();
    Integer getAge();
    String getEmail();
    String getPhone();
    // 其他所有需要暴露的字段
}

接下来有两种方式动态返回投影：

• 方式一：在Repository层控制
  给Repository方法加上权限注解，根据角色返回对应投影：

  @RepositoryRestResource(collectionResourceRel = "users", path = "users")
  public interface UserRepository extends JpaRepository<User, String> {
  
      @PreAuthorize("hasRole('STAFF')")
      @Override
      @RestResource(exported = false)
      List<User> findAll();
  
      @PreAuthorize("hasRole('STAFF')")
      @RestResource(path = "basic", rel = "basic")
      List<BasicUserProjection> findAllProjectedBy();
  
      @PreAuthorize("hasRole('ADMIN')")
      @RestResource(path = "full", rel = "full")
      List<FullUserProjection> findAllProjectedByFull();
  }
  

  这样staff访问/users/basic拿到基础字段，admin访问/users/full拿到全字段。

• 方式二：动态投影（更灵活）
  实现RepositoryRestConfigurer，根据当前用户角色自动选择投影：

  @Configuration
  public class RestConfig implements RepositoryRestConfigurer {
      @Override
      public void configureRepositoryRestConfiguration(RepositoryRestConfiguration config) {
          config.getProjectionConfiguration()
                  .addProjection(BasicUserProjection.class)
                  .addProjection(FullUserProjection.class);
      }
  
      @Bean
      public ResourceProcessor<Resource<User>> userResourceProcessor() {
          return resource -> {
              Authentication auth = SecurityContextHolder.getContext().getAuthentication();
              if (auth != null && auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_STAFF"))) {
                  resource.add(Link.of(resource.getId().getHref() + "?projection=basicUser", "self"));
              } else {
                  resource.add(Link.of(resource.getId().getHref() + "?projection=fullUser", "self"));
              }
              return resource;
          };
      }
  }
  

  这样用户访问/users/{id}时，会自动根据角色返回对应的投影内容。

如果你的项目混合了自定义Controller和Spring Data REST，用Jackson的JsonView可以更灵活地控制序列化字段。

首先定义视图类：

public class UserViews {
    // staff可见的基础字段视图
    public static class Basic {}
    // admin可见的全字段视图（继承Basic避免重复标注）
    public static class Admin extends Basic {}
}

然后在User实体的字段上标注对应的视图：

@Entity
public class User {
    @JsonView(UserViews.Basic.class)
    private String name;

    @JsonView(UserViews.Basic.class)
    private Integer age;

    @JsonView(UserViews.Admin.class)
    private String email;

    @JsonView(UserViews.Admin.class)
    private String phone;

    // getter、setter省略
}

对于自定义Controller，直接在方法中根据角色选择视图：

@RestController
@RequestMapping("/api/users")
public class UserApiController {
    @Autowired
    private UserRepository userRepository;

    @GetMapping("/{id}")
    @PreAuthorize("hasAnyRole('STAFF', 'ADMIN')")
    public MappingJacksonValue getUser(@PathVariable String id) {
        User user = userRepository.findById(id).orElseThrow(() -> new RuntimeException("User not found"));
        MappingJacksonValue result = new MappingJacksonValue(user);
        
        // 根据当前用户角色选择视图
        if (SecurityContextHolder.getContext().getAuthentication().getAuthorities().stream()
                .anyMatch(auth -> auth.getAuthority().equals("ROLE_ADMIN"))) {
            result.setSerializationView(UserViews.Admin.class);
        } else {
            result.setSerializationView(UserViews.Basic.class);
        }
        return result;
    }
}

如果是Spring Data REST的接口，需要自定义序列化逻辑，可以通过RepositoryRestConfigurer配置：

@Configuration
public class JsonViewConfig implements RepositoryRestConfigurer {
    @Override
    public void configureJacksonObjectMapper(ObjectMapper objectMapper) {
        objectMapper.disable(MapperFeature.DEFAULT_VIEW_INCLUSION);
    }

    @Bean
    public Jackson2ObjectMapperBuilderCustomizer jackson2ObjectMapperBuilderCustomizer() {
        return builder -> builder.defaultViewInclusion(false);
    }
}

再结合之前的ResourceProcessor来动态设置视图，就能让Spring Data REST的接口也支持JsonView。

上面的方案主要解决查询时的字段过滤，如果你还需要控制更新时的字段（比如staff只能修改name和age），可以用下面的方法：

方式一：@InitBinder 参数绑定过滤 #

在ControllerAdvice中初始化绑定器，根据角色限制允许绑定的字段：

@ControllerAdvice
public class UserBindingAdvice {
    @InitBinder("user")
    public void initUserBinder(WebDataBinder binder) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth != null && auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_STAFF"))) {
            // 只允许绑定name和age字段，其他字段会被忽略
            binder.setAllowedFields("name", "age");
        } else {
            // admin允许所有字段
            binder.setAllowedFields("*");
        }
    }
}

这样staff提交PUT/PATCH请求时，即使传了email、phone等字段，也不会被绑定到User对象中，自然无法修改。

方式二：自定义切面拦截更新方法 #

如果是Spring Data REST的保存方法，可以写切面拦截save()或saveAndFlush()方法，根据角色过滤字段：

@Aspect
@Component
public class UserUpdateAspect {
    @Autowired
    private UserRepository userRepository;

    @Before("execution(* com.yourpackage.UserRepository.save(..)) && args(user)")
    public void beforeSave(User user) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth != null && auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_STAFF"))) {
            // 将staff无权修改的字段设为数据库原对象的值，避免被篡改
            User originalUser = userRepository.findById(user.getId()).orElse(user);
            user.setEmail(originalUser.getEmail());
            user.setPhone(originalUser.getPhone());
            // 其他敏感字段同理
        }
    }
}

这种方式可以避免用户通过提交非法字段修改敏感信息。

• 如果你主要用Spring Data REST，优先选Projection方案，原生支持，配置简单，符合REST风格。
• 混合自定义Controller的话，JsonView方案更灵活，能统一控制所有接口的字段序列化。
• 更新场景的字段控制，用@InitBinder最便捷，切面适合更复杂的业务逻辑。

内容的提问来源于stack exchange，提问作者Kien Dang