MarMotIDVsbruck1. Использовать классификацию не по имени, а Authority (public enum Authority implements GrantedAuthority {}), назначенный юзерам по критериям. Конфиг подправить:
1.
2.
3.
4.
5.
...
<security:http auto-config="false" use-expressions="true">
..
</security:http>
...
и использовать expressions:
1.
<security:intercept-url pattern="/PNG/**" access="hasRole('VSE_PETI', 'VSE_VASI')"/>
2. Раз уж ты все равно отдаешь содержимое "/PNG/**" после Spring Security, то можно отдавать контроллером:
1.
2.
3.
4.
@RequestMapping(value = "/PNG/{fileName}", method = RequestMethod.GET)
public ModelAndView profile(@PathVariable String fileName, Authentication authentication) throws IOException {
//получаем юзера из authentication, смотрим права и отдаем содержимое
}
3. Конфиг как в (1) и использовать @PreAuthorize("hasRole('VSE_PETI', 'VSE_VASI')") перед методом контроллера из (2).
Спасбо, но тут не получится разделить пользователей по группам.
Например, если у пользователя есть определенный период пользования ресурсами в PNG, то надо в зависимости от данных в БД и текущей даты разрешить или запретить доступ.
Тогда получается, что на каждого пользователя надо заводить профайл или хранить его в данных сессии и в фильтер чейн проверять авторизацию.
К сожалению я делал это вручную без спринга, но базовый подход вроде как должен работать и в спринге
http://static.springsource.org/spring-security/site/docs/3.0.x/reference/security-filter-chain.html
