代码之家 › 专栏 › 技术社区 › toolkit

使用java和hibernate的数据“安全性”

java-ee hibernate security java

toolkit · 技术社区 · 16 年前

我目前使用的系统需要一些基于角色的安全性,这在JavaEE堆栈中得到了很好的满足。该系统旨在成为一个框架,供业务领域专家在上面编写代码。

然而,对数据也有要求 security . 也就是说,最终用户可以看到哪些信息。

这实际上意味着降低数据库中行(甚至列)的可见性。

我们正在使用Hibernate进行持久化。但是,我们正在使用自己的注释,以便不向业务领域专家公开我们的持久性选择。

对于基于行的安全性,这意味着我们可以添加注释,例如 @Secured 在实体级别,这将导致在基础表中添加一个额外的列来约束我们的选择?

对于基于列的安全性,我们也许可以 @安全的 要帮助生成查询,或者使用方面来过滤返回的信息?

我很想知道这会如何影响hibernate的缓存机制?

我相信很多其他人也会有同样的问题,我想知道你是如何处理这个问题的?

2 回复 | 直到 10 年前

JMM 16 年前

Hibernate有一个 filter mechanism

您的数据库也可能支持此功能。例如,Oracle拥有 Virtual Private Database (VPD)将在数据库级别重写查询。此解决方案还有一个额外的好处,即任何违反db的外部程序(如报告工具)都将强制执行您的安全限制。VPD还支持使用空值屏蔽受限列。

不幸的是,上述解决方案不足以支持我通常从事的项目类型的安全需求。在上述解决方案中,通常存在一些不容易表达的上下文。例如,用户可以查看他们创建的、标记为公共的或属于他们管理的项目的数据。

我们通常创建query/finder/DAO对象,在其中传入强制执行安全性所需的值,然后相应地创建查询。

我希望这有帮助

Brian Matthews 16 年前

在使用Hibernate筛选器时,您需要知道附加的限制不会应用于 load() 或 get()

推荐文章

user29759326 · 如何返回递归函数中的最后一个值?

4 月前

malife89 · 将java中的字符串读取为正确的日期格式

4 月前

Tim · 在java中,有没有更快的方法将字节数组写入文件?

4 月前

pebble unit · 如何检查以前缀开头、以后缀结尾的属性(不是属性值)

4 月前

Nuñito Calzada · Spring Boot with JWT:访问此资源需要完全身份验证

4 月前

rudraraj · java中未声明最终变量

5 月前

Bala Ji · 以下BFS的实施效率如何?

5 月前

MineRickStar · 如何在Java中从Windows获取当前选定的应用程序

5 月前

user2649681 · 实时生成音频以写入“SourceDataLine”`

5 月前

davidalayachew · 为什么我的文件有竞争条件,即使我使用了StandardOpenOption。同步?

5 月前