没有Spring标记库的Spring安全性(JSTL)

Question

我们有一个典型的web应用程序，它使用Security和JSP。我们使用标准的库显示/隐藏、允许/限制基于用户角色的网页的部分内容。

现在，我们将更改JSP部件并编写一个完整的基于Javascript的客户端。

1. 是否有方法获得由Javascript标记库提供的类似功能。
2. 如果不是，在Javascript中实现我们自己的机制时，我们应该担心的是什么。

谢谢，伊什

Answer 1

如果您的问题是“Security是否有相当于JSP标记的Javascript”，那么答案肯定是"no“。明显的区别是Javascript在客户机上运行，而JSP在服务器上执行，所以不能仅仅依靠使用Javascript库隐藏敏感信息，因为这样做是不安全的。

Javascript客户端本质上是不同的，安全性很可能在您向它公开的API中实现，从而允许它从服务器检索数据。它将包括应用于URL和服务器端方法的安全控制，而不是与显示技术有任何关系，因此在某些方面它比JSP安全性更容易测试和推理，因为它与实际的显示代码是解耦的。