Annotations de sécurité Spring avec EL - nécessite la compilation des informations de débogage?

Question

J'envisage d'utiliser les annotations Spring Security pour mon application, avec la fonction EL (langage d'expression). Par exemple:

@PreAuthorize("hasPermission(#contact, 'admin')") 
public void deletePermission(Contact contact, Sid recipient, Permission permission); 

J'ai besoin de la capacité EL parce que j'ai construit ma propre implémentation d'ACL. Toutefois, pour utiliser cette fonctionnalité avec les arguments de type « #contact », la documentation de printemps dit ceci:

Vous pouvez accéder à toute la méthode arguments par nom expression les variables, à condition que votre code a des informations de débogage dans compilé

Cela soulève deux questions:.

1. Il est acceptable d'avoir une application de production commercialement distribué avec des informations de débogage en elle?
2. Si ce n'est pas le cas, y a-t-il un moyen de contourner le ?

Merci pour toute indication à ce sujet!

Answer 1

Je suppose que cela wans't une option lorsque vous avez abordé le problème pour la première fois, mais maintenant vous pouvez le faire

@PreAuthorize("hasPermission(#contact, 'admin')") 
public void deletePermission(@P("contact") Contact contact, Sid recipient, Permission permission); 

http://docs.spring.io/spring-security/site/docs/current/reference/html/el-access.html#access-control-using-preauthorize-and-postauthorize

Answer 2

Pour contourner ce problème, vous pouvez implémenter un ParameterNameDiscoverer personnalisé avec votre propre stratégie. Voici un exemple qui produit des noms simples numérotés (arg0, etc.):

public class SimpleParameterNameDiscoverer implements 
     ParameterNameDiscoverer { 

    public String[] getParameterNames(Method m) { 
     return getParameterNames(m.getParameterTypes().length);   
    } 

    public String[] getParameterNames(Constructor c) { 
     return getParameterNames(c.getParameterTypes().length);   
    } 

    protected String[] getParameterNames(int length) { 
     String[] names = new String[length]; 

     for (int i = 0; i < length; i++) 
      names[i] = "arg" + i; 

     return names; 
    } 
} 

et configuration:

<global-method-security ...> 
    <expression-handler ref = "methodSecurityExpressionHandler" /> 
</global-method-security> 

<beans:bean id = "methodSecurityExpressionHandler" 
    class = "org.springframework.security.access.expression.method.DefaultMethodSecurityExpressionHandler"> 
    <beans:property name = "parameterNameDiscoverer"> 
     <beans:bean class = "foo.bar.SimpleParameterNameDiscoverer" /> 
    </beans:property> 
</beans:bean> 

Answer 3

Je ne trouve pas la référence maintenant, mais vous pourriez être intéressés de savoir que Java 8 inclura des noms de paramètres à tout moment, même si je crois que Java 8 inclura des noms de paramètres à tout moment, même en mode debug.