वसंत बूट डेटा आराम अनुप्रयोग में JSON-PATCH पथ सुरक्षित करना

Question

मैं एक सुंदर वेनिला spring-boot-starter-data-rest सेटअप का उपयोग कर रहा हूं और PATCH विधि सक्षम कर रहा हूं। सब काम कर रहे हैं, लेकिन मुझे सुरक्षा चिंता है और आश्चर्य है कि इसे कम करने का अनुशंसित तरीका क्या है।

समस्या यह है कि PATCHpath एस पहुंच योग्य इकाइयों को एक अलग अंतराल से अद्यतन करने की अनुमति देता है। तो, मान लें कि मेरे पास comments एंडपॉइंट और article एंडपॉइंट है। प्रत्येक टिप्पणी के अपने लेख के साथ एक सहयोग है। एक उपयोगकर्ता जिसके पास कोई टिप्पणी संपादित करने की अनुमति है, उसके बाद ऐसा कुछ कर सकता है:

PATCH http://some.domain.foo/api/comments/1234 
Content-Type: application/json-patch+json 

[ 
    { "op": "replace", "path": "/article/title", "value": "foobar2" } 
] 

और इस प्रकार लेख का शीर्षक बदल गया !!

स्पष्ट रूप से यह अच्छा नहीं है।

इस मामले में, एपीआई के अन्य हिस्सों के लिए "लेख" के सहयोग से ट्रैवर्सबल होना आवश्यक है। लेकिन यह केवल पढ़ने के लिए होना चाहिए।

तो ... मैं इसे वसंत में कैसे पूरा करूं?

अनुरोध को रोकें? एक हैंडलर विधि लागू करें? खरोंच से अपना खुद का नियंत्रक लिखें?

धन्यवाद!

Answer 1

लगता है कि वसंत-डेटा-आराम पर वर्तमान कार्यान्वयन बीईएल पर सीधे मूल्य लागू करने के लिए स्पेल को पथ में परिवर्तित करता है। PatchOperation (v2.5.x) देखें।

• json-पैच के बजाय का उपयोग (साथ "application/json" या "आवेदन/मर्ज पैच + json" सामग्री प्रकार आंशिक अपडेट भेजने के लिए json-मर्ज PATCH अनुरोध:

  इन विकल्पों पर विचार करें)। यह @JsonIgnore और अन्य जैक्सन एनोटेशन का सम्मान करेगा और संगठनों का अलग-अलग व्यवहार करेगा।

• आप कर सकते हैं अक्षम "json-पैच + json" पूरी तरह से, उदाहरण के लिए यह
• उपयोग अनुप्रयोग स्तर एक सुरक्षा फिल्टर
• आप हमेशा अपने कस्टम json-पैच कार्यान्वयन बना सकते हैं, अगर आप अभी भी जरूरत है जोड़कर जेपीए पर भरोसा नहीं करना, यानी केवल लिंक की गई संस्थाओं की आईडी का खुलासा करना और अपने ResourceProcessor में कस्टम लिंक प्रदान करना।

ही, यदि आप जेपीए उपयोग कर रहे हैं और Comment.article@ManyToOne साथ टिप्पणी की जाती है यकीन है कि संघ पर कोई व्यापक नहीं है कि सुनिश्चित करें। भले ही आलेख ऑब्जेक्ट पैच के साथ संशोधित किया गया हो, फिर भी यह टिप्पणी के साथ सहेजा नहीं जाएगा।