Spring AOP实现功能权限校验功能的示例代码

2023-09-19 21:21:05 64

实现功能权限校验的功能有多种方法，其一使用拦截器拦截请求，其二是使用AOP抛异常。

首先用拦截器实现未登录时跳转到登录界面的功能。注意这里没有使用AOP切入，而是用拦截器拦截，因为AOP一般切入的是service层方法，而拦截器是拦截控制器层的请求，它本身也是一个处理器，可以直接中断请求的传递并返回视图，而AOP则不可以。

1.使用拦截器实现未登录时跳转到登录界面的功能

1.1拦截器SecurityInterceptor

packagecom.jykj.demo.filter;
importjava.io.PrintWriter;
importjavax.servlet.http.HttpServletRequest;
importjavax.servlet.http.HttpServletResponse;
importjavax.servlet.http.HttpSession;
importorg.springframework.web.servlet.HandlerInterceptor;
importorg.springframework.web.servlet.ModelAndView;
importcom.alibaba.fastjson.JSON;
importcom.jykj.demo.util.Helper;
importcom.jykj.demo.util.Result;

publicclassSecurityInterceptorimplementsHandlerInterceptor{
@Override
publicbooleanpreHandle(HttpServletRequestrequest,HttpServletResponseresponse,Objecthandler)
throwsException{
System.out.println("SecurityInterceptor:"+request.getContextPath()+","+request.getRequestURI()+","+request.getMethod());
HttpSessionsession=request.getSession();
if(session.getAttribute(Helper.SESSION_USER)==null){
System.out.println("AuthorizationException:未登录！"+request.getMethod());
if("POST".equalsIgnoreCase(request.getMethod())){
response.setContentType("text/html;charset=utf-8");
PrintWriterout=response.getWriter();
out.write(JSON.toJSONString(newResult(false,"未登录！")));
out.flush();
out.close();
}else{
response.sendRedirect(request.getContextPath()+"/login");
}
returnfalse;
}else{
returntrue;
}
}

@Override
publicvoidpostHandle(HttpServletRequestrequest,HttpServletResponseresponse,Objecthandler,
ModelAndViewmodelAndView)throwsException{
//TODOAuto-generatedmethodstub
}

@Override
publicvoidafterCompletion(HttpServletRequestrequest,HttpServletResponseresponse,Objecthandler,Exceptionex)
throwsException{
//TODOAuto-generatedmethodstub
}
}

1.2.spring-mvc.xml(拦截器配置部分)

这里需要特别说明：拦截器拦截的路径最好是带有后缀名的，否则一些静态的资源文件不好控制，也就是说请求最好有一个统一的格式如.do等等，这样匹配与过滤速度会非常快。如果不这样，例如用/**来拦截所有的请求，则页面渲染速度会非常慢，因为资源文件也被拦截了。

2.使用AOP实现功能权限校验

对于功能权限校验也可以类似地用拦截器来实现，只不过会拦截所有的请求，对不需要权限校验的请求没有很好的过滤功能，所以采用AOP指定拦截需要校验的方法的方式来实现之。

2.1切面类PermissionAspect

packagecom.jykj.demo.filter;
importjava.io.IOException;
importjava.lang.reflect.Method;
importorg.aspectj.lang.JoinPoint;
importorg.aspectj.lang.reflect.MethodSignature;
importorg.springframework.beans.factory.annotation.Autowired;
importcom.jykj.demo.annotation.ValidatePermission;
importcom.jykj.demo.exception.AccessDeniedException;
importcom.jykj.demo.service.SysUserRolePermService;
/**
*事件日志切面,凡是带有@ValidatePermission以及@ResponseBody注解控制器都要进行功能权限检查，
*若无权限，则抛出AccessDeniedException异常，该异常将请求转发至一个控制器，然后将异常结果返回
*@authorAdministrator
*
*/
publicclassPermissionAspect{
@Autowired
SysUserRolePermServicesysUserRolePermService;
publicvoiddoBefore(JoinPointjp)throwsIOException{
System.out.println(
"logPermissionAspectBeforemethod:"+jp.getTarget().getClass().getName()+"."+jp.getSignature().getName());
MethodsoruceMethod=getSourceMethod(jp);
if(soruceMethod!=null){
ValidatePermissionoper=soruceMethod.getAnnotation(ValidatePermission.class);
if(oper!=null){
intfIdx=oper.idx();
Object[]args=jp.getArgs();
if(fIdx>=0&&fIdx
2.2自定义注解ValidatePermission
packagecom.jykj.demo.annotation;
importjava.lang.annotation.Documented;
importjava.lang.annotation.ElementType;
importjava.lang.annotation.Retention;
importjava.lang.annotation.RetentionPolicy;
importjava.lang.annotation.Target;
/**
*@Descrption该注解是标签型注解，被此注解标注的方法需要进行权限校验
*/
@Target(value=ElementType.METHOD)
@Retention(value=RetentionPolicy.RUNTIME)
@Documented
public@interfaceValidatePermission{
/**
*@Description功能Id的参数索引位置默认为0，表示功能id在第一个参数的位置上，-1则表示未提供，无法进行校验
*/
intidx()default0;
}

说明：AOP切入的是方法，不是某个控制器请求，所以不能直接返回视图来中断该方法的请求，但可以通过抛异常的方式达到中断方法执行的目的，所以在before通知中，如果通过验证直接return返回继续执行连接点方法，否则抛出一个自定义异常AccessDeniedException来中断连接点方法的执行。该异常的捕获可以通过系统的异常处理器（可以看做控制器）来捕获并跳转到一个视图或者一个请求。这样就达到拦截请求的目的。所以需要配置异常处理器。
2.3spring-mvc.xml(异常处理器配置，以及aop配置)





forward:/accessDenied












2.4注解需要进行功能校验的控制器请求
@RequestMapping(value="/moduleAccess.do",method=RequestMethod.POST,produces="text/html;charset=utf-8")
@ResponseBody
@ValidatePermission
publicStringmoduleAccess(intfid,Stringaction,FrmModulemodule){
System.out.println("fid:"+fid+",action:"+action);
intrs=-1;
try{
if(Helper.F_ACTION_CREATE.equals(action)){
rs=moduleService.access(module,Helper.DB_ACTION_INSERT);
//module.setModuleid(rs);
module=moduleService.selectByPrimaryKey(rs);
}elseif(Helper.F_ACTION_EDIT.equals(action)){
rs=moduleService.access(module,Helper.DB_ACTION_UPDATE);
module=moduleService.selectByPrimaryKey(module.getModuleid());
}elseif(Helper.F_ACTION_REMOVE.equals(action)){
rs=moduleService.access(module,Helper.DB_ACTION_DELETE);
}else{
returnJSON.toJSONString(newResult(false,"请求参数错误：action"));
}
}catch(Exceptione){
e.printStackTrace();
returnJSON.toJSONString(newResult(false,"操作失败,出现异常，请联系管理员！"));
}
if(rs<0){
returnJSON.toJSONString(newResult(false,"操作失败，请联系管理员！"));
}
returnJSON.toJSONString(newResult(true,module));
}

2.5异常处理器将请求转发到的控制器请求forward:/accessDenied
@RequestMapping(value="/accessDenied",produces="text/html;charset=UTF-8")
@ResponseBody
publicStringaccessDenied(){
returnJSON.toJSONString(newResult(false,"您没有权限对此进行操作！"));
}

2.6请求校验不通过时由上述的控制器返回结果本身
如下所示：
{"info":"您没有权限对此进行操作！","success":false}


2.7功能校验service示例
/**
*校验当前用户在某个模块的某个功能的权限
*@paramfunctionId
*@return空字符串表示有权限，否则是错误信息
*@throwsException
*/
publicStringpermissionValidate(intfunctionId){
Objecto=request.getSession().getAttribute(Helper.SESSION_USER);
//if(o==null)thrownewAuthorizationException();
SysUserloginUser=(SysUser)o;
if(loginUser.getUserid()==1)return"";
try{
returnmapper.permissionValidate(loginUser.getUserid(),functionId);
}catch(Exceptionex){
ex.printStackTrace();
return"数据库操作出现异常！";
}
}

说明：这里仅仅是对带有@ValidatePermission和@ResponseBody注解的controller包及其子包所有方法进行切入，这样肯定是不够通用的，应该是对带有@ValidatePermission的方法进行切入，在切面类中通过判断该方法是否有@ResponseBody注解来抛出不一样的异常，若带有@ResponseBody注解则抛出上述的异常返回json字符串，

否则，应该抛出另一个自定义异常然后将请求重定向到一个合法的视图如error.jsp.
通过客户端发送/moduleAccess.do请求，该请求对应的方法同时具有@ValidatePermission和@ResponseBody，并且有功能Id参数fid,这样AOP可以切入该方法，执行doBefore通知，通过功能参数fid，对它结合用户id进行权限校验，若校验通过直接返回，程序继续执行，否则抛出自定义异常AccessDeniedException，该异常由系统捕获（需要配置异常处理器）并发出请求forward:/accessDenied，然后对应的控制器/accessDenied处理该请求返回一个包含校验失败信息的json给客户端。这样发送/moduleAccess.do请求，如果校验失败，转发到了/accessDenied请求，否则正常执行。绕了这么一个大圈子才实现它。


以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持毛票票。

Spring AOP实现功能权限校验功能的示例代码

热门推荐

随机推荐