靜態類在Spring Security中的權限控制

在Spring Security中，靜態類的權限控制可以通過配置訪問控制列表（ACL）或使用注解來實現。以下是兩種方法的詳細說明：

1. 配置訪問控制列表（ACL）：

首先，你需要為靜態類創建一個對應的ACL。這可以通過繼承PermissionEvaluator接口并實現hasPermission方法來完成。例如：

public class CustomPermissionEvaluator implements PermissionEvaluator {
    @Override
    public boolean hasPermission(Authentication authentication, Object targetDomainObject, Object permission) {
        // 實現你的權限控制邏輯
    }

    @Override
    public boolean hasPermission(Authentication authentication, Serializable targetId, String targetType, Object permission) {
        // 實現你的權限控制邏輯
    }
}

接下來，你需要在Spring Security配置類中注冊這個自定義的權限Evaluator：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomPermissionEvaluator customPermissionEvaluator;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/static/**").access("hasPermission(#target, 'StaticResource', #permission)")
                .anyRequest().authenticated();
    }

    @Bean
    public MethodSecurityExpressionHandler expressionHandler() {
        DefaultMethodSecurityExpressionHandler handler = new 
        DefaultMethodSecurityExpressionHandler();
        handler.setPermissionEvaluator(customPermissionEvaluator);
        return handler;
    }
}

現在，你可以使用@PreAuthorize或@PostAuthorize注解來控制對靜態類的訪問權限：

@Controller
public class StaticResourceController {

    @GetMapping("/static/{resource}")
    @PreAuthorize("hasPermission(#resource, 'StaticResource', #request.method)")
    public ResponseEntity<String> getResource(@PathVariable String resource) {
        // 返回靜態資源內容
    }
}

2. 使用注解：

另一種方法是使用Spring Security提供的@PreAuthorize或@PostAuthorize注解來控制對靜態類的訪問權限。例如：

@Controller
public class StaticResourceController {

    @GetMapping("/static/{resource}")
    @PreAuthorize("hasRole('ROLE_USER') and hasPermission(#resource, 'StaticResource')")
    public ResponseEntity<String> getResource(@PathVariable String resource) {
        // 返回靜態資源內容
    }
}

在這個例子中，我們要求用戶具有ROLE_USER角色并且具有訪問靜態資源的權限。你可以根據需要調整這些條件。