Spring AOP实现功能权限校验功能的示例代码
作者：後雪寒 发布时间：2021-10-18 21:32:29
标签：Spring,AOP,权限
实现功能权限校验的功能有多种方法，其一使用 * 拦截请求，其二是使用AOP抛异常。
首先用 * 实现未登录时跳转到登录界面的功能。注意这里没有使用AOP切入，而是用 * 拦截，因为AOP一般切入的是service层方法，而 * 是拦截控制器层的请求，它本身也是一个处理器，可以直接中断请求的传递并返回视图，而AOP则不可以。
1.使用 * 实现未登录时跳转到登录界面的功能
1.1 * SecurityInterceptor
package com.jykj.demo.filter;
import java.io.PrintWriter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;
import com.alibaba.fastjson.JSON;
import com.jykj.demo.util.Helper;
import com.jykj.demo.util.Result;
public class SecurityInterceptor implements HandlerInterceptor{
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
throws Exception {
System.out.println("SecurityInterceptor:"+request.getContextPath()+","+request.getRequestURI()+","+request.getMethod());
HttpSession session = request.getSession();
if (session.getAttribute(Helper.SESSION_USER) == null) {
System.out.println("AuthorizationException:未登录！"+request.getMethod());
if("POST".equalsIgnoreCase(request.getMethod())){
response.setContentType("text/html; charset=utf-8");
PrintWriter out = response.getWriter();
out.write(JSON.toJSONString(new Result(false,"未登录！")));
out.flush();
out.close();
}else{
response.sendRedirect(request.getContextPath()+"/login");
}
return false;
} else {
return true;
}
}
@Override
public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,
ModelAndView modelAndView) throws Exception {
// TODO Auto-generated method stub
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)
throws Exception {
// TODO Auto-generated method stub
}
}
1.2.spring-mvc.xml( * 配置部分)
<!-- Handles HTTP GET requests for /resources/** by efficiently serving up static resources in the ${webappRoot}/resources directory -->
<mvc:resources mapping="/resources/**" location="/resources/" />
<mvc:interceptors>
<mvc:interceptor>
<mvc:mapping path="/*"/> <!-- 拦截/ /test /login 等等单层结构的请求 -->
<mvc:mapping path="/**/*.aspx"/><!-- 拦截后缀为.aspx的请求 -->
<mvc:mapping path="/**/*.do"/><!-- 拦截后缀为 .do的请求 -->
<mvc:exclude-mapping path="/login"/>
<mvc:exclude-mapping path="/signIn"/>
<mvc:exclude-mapping path="/register"/>
<bean class="com.jykj.demo.filter.SecurityInterceptor">
</bean>
</mvc:interceptor>
</mvc:interceptors>
这里需要特别说明： * 拦截的路径最好是带有后缀名的，否则一些静态的资源文件不好控制，也就是说请求最好有一个统一的格式如 .do 等等，这样匹配与过滤速度会非常快。如果不这样，例如 用 /** 来拦截所有的请求，则页面渲染速度会非常慢，因为资源文件也被拦截了。
2.使用AOP实现功能权限校验
对于功能权限校验也可以类似地用 * 来实现，只不过会拦截所有的请求，对不需要权限校验的请求没有很好的过滤功能，所以采用AOP指定拦截需要校验的方法的方式来实现之。
2.1 切面类 PermissionAspect
package com.jykj.demo.filter;
import java.io.IOException;
import java.lang.reflect.Method;
import org.aspectj.lang.JoinPoint;
import org.aspectj.lang.reflect.MethodSignature;
import org.springframework.beans.factory.annotation.Autowired;
import com.jykj.demo.annotation.ValidatePermission;
import com.jykj.demo.exception.AccessDeniedException;
import com.jykj.demo.service.SysUserRolePermService;
/**
* 事件日志 切面,凡是带有 @ValidatePermission 以及@ResponseBody注解 控制器 都要进行 功能权限检查，
* 若无权限，则抛出AccessDeniedException 异常，该异常将请求转发至一个控制器，然后将异常结果返回
* @author Administrator
*
*/
public class PermissionAspect {
@Autowired
SysUserRolePermService sysUserRolePermService;
public void doBefore(JoinPoint jp) throws IOException{
System.out.println(
"log PermissionAspect Before method: " + jp.getTarget().getClass().getName() + "." + jp.getSignature().getName());
Method soruceMethod = getSourceMethod(jp);
if(soruceMethod!=null){
ValidatePermission oper = soruceMethod.getAnnotation(ValidatePermission.class);
if (oper != null) {
int fIdx = oper.idx();
Object[] args = jp.getArgs();
if (fIdx>= 0 &&fIdx<args.length){
int functionId = (Integer) args[fIdx];
String rs = sysUserRolePermService.permissionValidate(functionId);
System.out.println("permissionValidate:"+rs);
if(rs.trim().isEmpty()){
return ;//正常
}
}
}
}
throw new AccessDeniedException("您无权操作！");
}
private Method getSourceMethod(JoinPoint jp){
Method proxyMethod = ((MethodSignature) jp.getSignature()).getMethod();
try {
return jp.getTarget().getClass().getMethod(proxyMethod.getName(), proxyMethod.getParameterTypes());
} catch (NoSuchMethodException e) {
e.printStackTrace();
} catch (SecurityException e) {
e.printStackTrace();
}
return null;
}
}
2.2自定义注解ValidatePermission
package com.jykj.demo.annotation;
import java.lang.annotation.Documented;
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;
/**
* @Descrption该注解是标签型注解，被此注解标注的方法需要进行权限校验
*/
@Target(value = ElementType.METHOD)
@Retention(value = RetentionPolicy.RUNTIME)
@Documented
public @interface ValidatePermission {
/**
* @Description功能Id的参数索引位置 默认为0，表示功能id在第一个参数的位置上，-1则表示未提供，无法进行校验
*/
int idx() default 0;
}
说明： AOP切入的是方法，不是某个控制器请求，所以不能直接返回视图来中断该方法的请求，但可以通过抛异常的方式达到中断方法执行的目的，所以在before通知中，如果通过验证直接return返回继续执行连接点方法，否则抛出一个自定义异常AccessDeniedException来中断连接点方法的执行。该异常的捕获可以通过系统的异常处理器（可以看做控制器）来捕获并跳转到一个视图或者一个请求。这样就达到拦截请求的目的。所以需要配置异常处理器。
2.3 spring-mvc.xml(异常处理器配置，以及aop配置)
<bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
<!-- <property name="defaultErrorView" value="rediret:/error"></property> -->
<property name="exceptionMappings">
<props>
<!--<prop key="com.jykj.demo.exception.AuthorizationException">redirect:/login</prop>-->
<prop key="com.jykj.demo.exception.AccessDeniedException">forward:/accessDenied</prop>
</props>
</property>
</bean>
<bean id="aspectPermission" class="com.jykj.demo.filter.PermissionAspect" />
<!-- 对带有@ValidatePermission和ResponseBody注解的controller包及其子包所有方法执行功能权限校验 -->
<aop:config proxy-target-class="true">
<aop:aspect ref="aspectPermission">
<aop:pointcut id="pc"
expression="@annotation(com.jykj.demo.annotation.ValidatePermission)
and @annotation(org.springframework.web.bind.annotation.ResponseBody)
and execution(* com.jykj.demo.controller..*.*(..)) " />
<aop:before pointcut-ref="pc" method="doBefore"/>
</aop:aspect>
</aop:config>
2.4 注解需要进行功能校验的控制器请求
@RequestMapping(value = "/moduleAccess.do", method = RequestMethod.POST, produces="text/html;charset=utf-8")
@ResponseBody
@ValidatePermission
public String moduleAccess(int fid,String action,FrmModule module) {
System.out.println("fid:"+fid+",action:"+action);
int rs = -1;
try{
if(Helper.F_ACTION_CREATE.equals(action)){
rs = moduleService.access(module,Helper.DB_ACTION_INSERT);
//module.setModuleid(rs);
module = moduleService.selectByPrimaryKey(rs);
}else if(Helper.F_ACTION_EDIT.equals(action)){
rs = moduleService.access(module,Helper.DB_ACTION_UPDATE);
module = moduleService.selectByPrimaryKey(module.getModuleid());
}else if(Helper.F_ACTION_REMOVE.equals(action)){
rs = moduleService.access(module,Helper.DB_ACTION_DELETE);
}else{
return JSON.toJSONString(new Result(false,"请求参数错误：action"));
}
}catch(Exception e){
e.printStackTrace();
return JSON.toJSONString(new Result(false,"操作失败,出现异常，请联系管理员！"));
}
if(rs<0){
return JSON.toJSONString(new Result(false,"操作失败，请联系管理员！"));
}
return JSON.toJSONString(new Result(true,module));
}
2.5 异常处理器将请求转发到的控制器请求 forward:/accessDenied
@RequestMapping(value = "/accessDenied",produces = "text/html;charset=UTF-8")
@ResponseBody
public String accessDenied(){
return JSON.toJSONString(new Result(false,"您没有权限对此进行操作！"));
}
2.6 请求校验不通过时 由上述的控制器返回 结果本身
如下所示：
{"info":"您没有权限对此进行操作！","success":false}
2.7 功能校验service 示例
/**
* 校验当前用户在某个模块的某个功能的权限
* @param functionId
* @return 空字符串表示 有权限 ，否则是错误信息
* @throws Exception
*/
public String permissionValidate(int functionId){
Object o = request.getSession().getAttribute(Helper.SESSION_USER);
//if(o==null) throw new AuthorizationException();
SysUser loginUser= (SysUser)o;
if(loginUser.getUserid() == 1) return "";
try{
return mapper.permissionValidate(loginUser.getUserid(),functionId);
}catch(Exception ex){
ex.printStackTrace();
return "数据库操作出现异常！";
}
}
说明： 这里仅仅是对带有@ValidatePermission和@ResponseBody注解的controller包及其子包所有方法进行切入，这样肯定是不够通用的，应该是对带有@ValidatePermission的方法进行切入，在切面类中通过判断该方法是否有@ResponseBody注解来抛出不一样的异常，若带有@ResponseBody注解则抛出上述的异常返回json字符串，
否则，应该抛出另一个自定义异常然后将请求重定向到一个合法的视图如error.jsp .
通过客户端发送 /moduleAccess.do 请求，该请求对应的方法同时具有@ValidatePermission和@ResponseBody，并且有功能Id参数fid,这样AOP可以切入该方法，执行doBefore通知，通过功能参数fid，对它结合用户id进行权限校验，若校验通过直接返回，程序继续执行，否则抛出自定义异常AccessDeniedException，该异常由系统捕获（需要配置异常处理器）并发出请求 forward:/accessDenied ，然后对应的控制器 /accessDenied 处理该请求返回一个包含校验失败信息的json给客户端。这样发送 /moduleAccess.do 请求，如果校验失败，转发到了/accessDenied请求，否则正常执行。绕了这么一个大圈子才实现它。
来源：http://blog.csdn.net/houxuehan/article/details/51745175
0
投稿猜你喜欢
- 本文介绍了Android中js和原生交互的示例代码，分享给大家，具体如下：加载webview的类public class MainActiv
- 在学习了不少使用string处理字符串的方法后，对于这方面基础内容模块已经初步掌握。对于java面试时，字符串是比较基础和重点的模块，所以在
网上有不少教程，那个提示框字符集都是事先写好的，例如用一个String[] 数组去包含了这些数据，但是，我们也可以吧用户输入的作为历史记录保- 匿名类是不能有名称的类，所以没办法引用它们。必须在创建时，作为new语句的一部分来声明它们。这就要采用另一种形式的new语句，如下所示： n
- Lambda 表达式最早接触到 Lambda 表达式的时候，是在学习 python 的时候，当时就很好奇。后来，才发现 Java 也有这个方
- 前言这里介绍一个.net自身携带的类ImageAnimator，这个类类似于控制动画的时间轴，使用ImageAnimator.CanAnim
- 前言关于RecyclerView的使用这里就不在赘述了,相信网上一搜一大把(本人之前的文章也有简单的使用介绍),这次我们讲的是Recycle
- 本文实例讲述了Java继承Thread类创建线程类。分享给大家供大家参考，具体如下：一 点睛通过继承Thread类创建线程并启动多线程的步骤
- 在项目中遇到需要批量更新的功能，原本想的是在Java中用循环访问数据库去更新，但是心里总觉得这样做会不会太频繁了，太耗费资源了，效率也很低，
- //写注册表RegistryKey regWrite;//往HKEY_CURRENT_USER主键里的Software子键下写一个名为“Te
- 本文实例讲述了Android编程设计模式之访问者模式。分享给大家供大家参考，具体如下：一、介绍访问者模式是一种将数据操作与数据结构分离的设计
- 本文主要介绍了idea实现类快捷生成接口方法示例，分享给大家，具体如下：接口类实现类当我们实现了接口后，并没有像eclipse那样，鼠标放上
- 本文实例讲述了C#使用iTextSharp封装的PDF文件操作类。分享给大家供大家参考。具体分析如下：这个C#代码主要讲iTextSharp
- C#提升管理员权限修改本地Windows系统时间在桌面应用程序开发过程中，需要对C盘下进行文件操作或者系统参数进行设置，例如在没有外网的情况
- 线程可以划分优先级，优先级高的线程得到的CPU资源比较多，也就是CPU优先执行优先级高的线程对象中的任务。设置线程优先级有助于帮助线程规划器
- 在工作中经常读写文本文件，在读文件时，需要按开头的两个字节判断文件格式，然后按该格式读文件中的内容。 写文件时，也要按目标文件指定
- 1. 树型结构1.1概念树是一种 非线性 的数据结构，它是由 n （ n>=0 ）个有限结点组成一个具有层次关系的集合。 把它叫做树是
- 安卓系统本身可以很简便的实现分享功能，因为我们只需向startActivity传递一个ACTION_SEND的Intent，系统就为我们弹出
- 1、引言在SpringMVC的使用中，后端与前端的交互一般是使用Json格式进行数据传输，SpringMVC的@Response
- 前言用户注册功能是每一个系统的入口门面功能，很多人可能会以为很简单，不就是一个简单的CRUD吗？其实不然，要把前后端功能都做出来，页面跳转也
