Estou com o seguinte problema:

Meu aplicativo usa o plugin Acegi para controlar o acesso a aplicação e no RequestMap está o seguinte:
/cliente/** = ROLE_USER, ROLE_ADMIN
Na listagem eu filtro somente os clientes do usuário logado. Até aqui tudo Ok.

Só que se outro usuário digitar diretamente a URL com o ID do cliente ele consegue visualizar todos os registros:
<!-- m --><a class="postlink" href="http://localhost:8080/cadastro/cliente/show/">http://localhost:8080/cadastro/cliente/show/</a><!-- m -->1

Tentei bloquear a visualização na action Show do clienteController - comparando a instância do usuário do cliente com o usuário logado - mas não obtive sucesso:

   def show = {
        def clienteInstance = Cliente.get(params.id)

        // recupera usuário logado e...
        def usuario = authenticateService.userDomain()
        // ...compara com o usuário do registro solicitado
        if (!clienteInstance.usuario.equals(usuario)) {
            flash.message = 'Acesso negado!'
            redirect(action: "list")
        }

        if (!clienteInstance) {
            flash.message = "${message(code: 'default.not.found.message', args: [message(code: 'cliente.label', default: 'Cliente'), params.id])}"
            redirect(action: "list")
        }
        else {
            [clienteInstance: clienteInstance]
        }
    }

Quero que somente o usuário logado tenha acesso aos seus registros para exibição ou exclusão e que outro usuário não consiga acesso aos mesmos ao digitar a URL.

Agradeço a quem puder me ajudar na solução deste problema.