如何基于用户角色序列化Spring Data REST实体（无需投影）

完全可以实现按用户角色控制接口返回的实体字段，下面给你几个实用方案，覆盖你提到的投影漏洞和字段级权限需求：

方案一：字段级权限注解 + Jackson 自定义序列化 #

你要的类似@PreAuthorize的字段级权限控制，可以通过自定义Jackson注解结合Spring Security实现：

1. 自定义字段权限注解

@Target(FIELD)
@Retention(RUNTIME)
public @interface VisibleForRoles {
    String[] value(); // 指定可见的角色列表
}

2. 实现Jackson角色过滤逻辑

public class RoleBasedPropertyFilter extends SimpleBeanPropertyFilter {
    @Override
    protected boolean include(BeanPropertyWriter writer) {
        VisibleForRoles annotation = writer.getAnnotation(VisibleForRoles.class);
        if (annotation == null) {
            return true; // 无注解字段默认可见
        }
        
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth == null) {
            return false; // 未登录用户不可见带权限注解的字段
        }
        
        // 检查当前用户是否拥有允许的角色
        return Arrays.stream(annotation.value())
                .anyMatch(role -> auth.getAuthorities().contains(new SimpleGrantedAuthority(role)));
    }
}

3. 注册过滤器到Jackson配置

@Configuration
public class JacksonConfig {
    @Bean
    public ObjectMapper objectMapper() {
        ObjectMapper mapper = new ObjectMapper();
        FilterProvider filters = new SimpleFilterProvider()
                .addFilter("roleFilter", new RoleBasedPropertyFilter());
        mapper.setFilterProvider(filters);
        return mapper;
    }
}

4. 在实体字段上使用注解

@Entity
@JsonFilter("roleFilter") // 绑定过滤器
public class User {
    @Id
    private Long id;
    private String username;
    
    @VisibleForRoles("ROLE_ADMIN") // 仅管理员可见
    private String adminOnlyField;
}

这样不管是Spring Data REST自动生成的接口还是自定义接口，序列化时都会自动根据用户角色过滤字段。

方案二：强制按角色使用默认投影 #

针对投影方案的漏洞（用户不指定投影就返回全字段），可以通过配置强制默认投影：

1. 定义不同角色的投影接口

@Projection(name = "user", types = User.class)
public interface UserProjection {
    Long getId();
    String getUsername();
}

@Projection(name = "adminUser", types = User.class)
public interface AdminUserProjection {
    Long getId();
    String getUsername();
    String getAdminOnlyField();
}

2. 配置动态默认投影

@Configuration
public class RestConfig implements RepositoryRestConfigurer {
    @Override
    public void configureRepositoryRestConfiguration(RepositoryRestConfiguration config) {
        // 注册投影
        config.getProjectionConfiguration()
                .addProjection(UserProjection.class)
                .addProjection(AdminUserProjection.class);
        
        // 动态设置默认投影
        config.setProjectionFactory(new SpelAwareProxyProjectionFactory() {
            @Override
            public Class<?> getProjectionType(Class<?> sourceType, String projectionName) {
                Authentication auth = SecurityContextHolder.getContext().getAuthentication();
                if (auth != null && auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_ADMIN"))) {
                    return AdminUserProjection.class;
                }
                return UserProjection.class;
            }
        });
    }
}

这样用户不指定投影时，系统会自动根据角色匹配对应的投影，避免全字段暴露。

方案三：RepositoryEventHandler 拦截处理 #

通过Spring Data REST的事件拦截器，在返回实体前清空敏感字段：

@Component
@RepositoryEventHandler(User.class)
public class UserEventHandler {
    @HandleBeforeReturn
    public void handleUserBeforeReturn(User user) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // 非管理员清空管理员专属字段
        if (auth == null || !auth.getAuthorities().contains(new SimpleGrantedAuthority("ROLE_ADMIN"))) {
            user.setAdminOnlyField(null);
        }
    }
}

这个方案逻辑简单直接，适合字段较少的场景，但要注意懒加载字段的处理问题。

内容的提问来源于stack exchange，提问作者Kiran Kyle