@预授权不限制用户访问控制器操作

Question

使用Grails 弹簧安全和弹簧安全ACL。我有一个控制器：

class AdminCompanyController {

  @PreAuthorize("hasRole('ROLE_ADMIN')")
  def create() {
    println("create")
    [company: new Company()]
  }

}

即使只有角色ROLE_USER的用户也可以访问create()操作。

我知道我可以使用spring安全注释@Secured来完成这个任务，但是我想用ACL来完成它。

如何防止没有ROLE_ADMIN**from访问** create() 操作的用户使用？

编辑:我使用Grails 2.4.5和

    compile ":spring-security-core:2.0-RC5"
    runtime ':spring-security-acl:2.0-RC2'

Answer 1

@PreAuthorize必须在Services中使用。在控制器中，您必须使用@Secured。