Как применить @PostFilter при возврате ModelAndView?

Question

[piatachki]

Здравствуйте!

Аннотация @PostFilter позволяет через filterObject отфильтровать элементы возвращаемой коллекции. Это для RestController хорошо:

@RequestMapping(method = RequestMethod.GET)
    @PostFilter("filterObject.owner.email == authentication.name")
    public Collection<Club> getEntities(){
        return entityService.getEntities();
    }

Подскажите, пожалуйста, как применять её, если возвращается ModelAndView с аттрибутом с коллекцией? filterObject недоступен в SPeL в таком разе, поскольку коллекция возвращается на напрямую, а внутри модели:

@RequestMapping(method = RequestMethod.GET)
    @PostFilter("??? filterObject.owner.email == authentication.name")
    public String getEntities(Model model) {
        model.addAttribute("entities", entityService.getEntities());
        return "tamplate";
    }

Или, если это невозможно, может есть какой-то воркэраунд? Спасибо!

Answer 1

[Сергей Горностаев]

Вы можете просто аннотировать не метод контроллера, а метод сервиса.

Comments

[piatachki]

Да, действительно, спасибо. Слышал рекомендации, чтобы security-проверки делать на уровне контроллеров. Это нормально будет, если функционал фильтрации / аутентификации будет вынесен в слой сервисов?

[Сергей Горностаев]

piatachki, абсолютно нормально.