2. 程式人生 > >Spring AOP 實現功能許可權校驗功能

Spring AOP 實現功能許可權校驗功能

阿新 • • 發佈：2019-01-08

實現功能許可權校驗的功能有多種方法，其一使用攔截器攔截請求，其二是使用AOP拋異常。
首先用攔截器實現未登入時跳轉到登入介面的功能。注意這裡沒有使用AOP切入，而是用攔截器攔截，因為AOP一般切入的是service層方法，而攔截器是攔截控制器層的請求，它本身也是一個處理器，可以直接中斷請求的傳遞並返回檢視，而AOP則不可以。

1.使用攔截器實現未登入時跳轉到登入介面的功能

1.1 攔截器SecurityInterceptor

package com.jykj.demo.filter;

import java.io.PrintWriter;

import javax.servlet
 
.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;

import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import com.alibaba.fastjson.JSON;
import com.jykj.demo.util.Helper;
import com
 
.jykj.demo.util.Result;

public class SecurityInterceptor implements HandlerInterceptor{

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        System.out.println("SecurityInterceptor:"+request.getContextPath
 
()+","+request.getRequestURI()+","+request.getMethod());
        HttpSession session = request.getSession();
        if (session.getAttribute(Helper.SESSION_USER) == null) {
            System.out.println("AuthorizationException:未登入！"+request.getMethod());
            if("POST".equalsIgnoreCase(request.getMethod())){
                response.setContentType("text/html; charset=utf-8");  
                PrintWriter out = response.getWriter();   
                out.write(JSON.toJSONString(new Result(false,"未登入！")));
                out.flush();
                out.close();
            }else{
                response.sendRedirect(request.getContextPath()+"/login"); 
            }
            return false;
        } else {
            return true;
        }
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,
            ModelAndView modelAndView) throws Exception {
        // TODO Auto-generated method stub

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)
            throws Exception {
        // TODO Auto-generated method stub

    }

}

1.2.spring-mvc.xml(攔截器配置部分)

<!-- Handles HTTP GET requests for /resources/** by efficiently serving up static resources in the ${webappRoot}/resources directory -->
    <mvc:resources mapping="/resources/**" location="/resources/" />
<mvc:interceptors>
        <mvc:interceptor>
            <mvc:mapping path="/*"/>  <!-- 攔截/  /test  /login  等等單層結構的請求  --> 
            <mvc:mapping path="/**/*.aspx"/><!-- 攔截字尾為.aspx的請求 -->
            <mvc:mapping path="/**/*.do"/><!-- 攔截字尾為 .do的請求 -->
            <mvc:exclude-mapping path="/login"/>
            <mvc:exclude-mapping path="/signIn"/>
            <mvc:exclude-mapping path="/register"/>
            <bean class="com.jykj.demo.filter.SecurityInterceptor">
            </bean>
        </mvc:interceptor>
    </mvc:interceptors>

這裡需要特別說明：攔截器攔截的路徑最好是帶有後綴名的，否則一些靜態的資原始檔不好控制，也就是說請求最好有一個統一的格式如 .do 等等，這樣匹配與過濾速度會非常快。如果不這樣，例如 用 /** 來攔截所有的請求，則頁面渲染速度會非常慢，因為資原始檔也被攔截了。

2.使用AOP實現功能許可權校驗

對於功能許可權校驗也可以類似地用攔截器來實現，只不過會攔截所有的請求，對不需要許可權校驗的請求沒有很好的過濾功能，所以採用AOP指定攔截需要校驗的方法的方式來實現之。

2.1 切面類 PermissionAspect

package com.jykj.demo.filter;

import java.io.IOException;
import java.lang.reflect.Method;

import org.aspectj.lang.JoinPoint;
import org.aspectj.lang.reflect.MethodSignature;
import org.springframework.beans.factory.annotation.Autowired;

import com.jykj.demo.annotation.ValidatePermission;
import com.jykj.demo.exception.AccessDeniedException;
import com.jykj.demo.service.SysUserRolePermService;

/**
 * 事件日誌 切面,凡是帶有 @ValidatePermission 以及@ResponseBody註解 控制器 都要進行 功能許可權檢查，
 * 若無許可權，則丟擲AccessDeniedException 異常，該異常將請求轉發至一個控制器，然後將異常結果返回
 * @author Administrator
 *
 */
public class PermissionAspect {
    @Autowired
    SysUserRolePermService sysUserRolePermService;

    public void doBefore(JoinPoint jp) throws IOException{
        System.out.println(
                "log PermissionAspect Before method: " + jp.getTarget().getClass().getName() + "." + jp.getSignature().getName());
        Method soruceMethod = getSourceMethod(jp);
        if(soruceMethod!=null){
            ValidatePermission oper = soruceMethod.getAnnotation(ValidatePermission.class);
            if (oper != null) {
                int fIdx = oper.idx();
                Object[] args = jp.getArgs();
                if (fIdx>= 0 &&fIdx<args.length){
                    int functionId = (Integer) args[fIdx];
                    String rs = sysUserRolePermService.permissionValidate(functionId);
                    System.out.println("permissionValidate:"+rs);
                    if(rs.trim().isEmpty()){
                        return ;//正常
                    }
                }
            }
        }
        throw new AccessDeniedException("您無權操作！");
    }
    private Method getSourceMethod(JoinPoint jp){
        Method proxyMethod = ((MethodSignature) jp.getSignature()).getMethod();
        try {
            return jp.getTarget().getClass().getMethod(proxyMethod.getName(), proxyMethod.getParameterTypes());
        } catch (NoSuchMethodException e) {
            e.printStackTrace();
        } catch (SecurityException e) {
            e.printStackTrace();
        }
        return null;
    }
}

2.2自定義註解ValidatePermission

package com.jykj.demo.annotation;

import java.lang.annotation.Documented;
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

/**
 * @Descrption該註解是標籤型註解，被此註解標註的方法需要進行許可權校驗
 */
@Target(value = ElementType.METHOD)
@Retention(value = RetentionPolicy.RUNTIME)
@Documented
public @interface ValidatePermission {
    /**
     * @Description功能Id的引數索引位置  預設為0，表示功能id在第一個引數的位置上，-1則表示未提供，無法進行校驗
     */
    int idx() default 0;
}

說明： AOP切入的是方法，不是某個控制器請求，所以不能直接返回檢視來中斷該方法的請求，但可以通過拋異常的方式達到中斷方法執行的目的，所以在before通知中，如果通過驗證直接return返回繼續執行連線點方法，否則丟擲一個自定義異常AccessDeniedException來中斷連線點方法的執行。該異常的捕獲可以通過系統的異常處理器（可以看做控制器）來捕獲並跳轉到一個檢視或者一個請求。這樣就達到攔截請求的目的。所以需要配置異常處理器。

2.3 spring-mvc.xml(異常處理器配置，以及aop配置)

<bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
        <!-- <property name="defaultErrorView" value="rediret:/error"></property>   -->
        <property name="exceptionMappings">
            <props>
                <!--<prop key="com.jykj.demo.exception.AuthorizationException">redirect:/login</prop>-->
                <prop key="com.jykj.demo.exception.AccessDeniedException">forward:/accessDenied</prop>
            </props>
        </property>
    </bean>
<bean id="aspectPermission" class="com.jykj.demo.filter.PermissionAspect" />
    <!-- 對帶有@ValidatePermission和ResponseBody註解的controller包及其子包所有方法執行功能許可權校驗  --> 
    <aop:config proxy-target-class="true">  
        <aop:aspect ref="aspectPermission">  
            <aop:pointcut id="pc"  
                expression="@annotation(com.jykj.demo.annotation.ValidatePermission) 
                and @annotation(org.springframework.web.bind.annotation.ResponseBody) 
                and execution(* com.jykj.demo.controller..*.*(..)) " />  
            <aop:before pointcut-ref="pc" method="doBefore"/>  
        </aop:aspect>  
    </aop:config>

2.4 註解需要進行功能校驗的控制器請求

@RequestMapping(value = "/moduleAccess.do", method = RequestMethod.POST, produces="text/html;charset=utf-8")
    @ResponseBody
    @ValidatePermission
    public String moduleAccess(int fid,String action,FrmModule module) {
        System.out.println("fid:"+fid+",action:"+action);
        int rs = -1;
        try{
            if(Helper.F_ACTION_CREATE.equals(action)){
                rs = moduleService.access(module,Helper.DB_ACTION_INSERT);
                //module.setModuleid(rs);
                module = moduleService.selectByPrimaryKey(rs);
            }else if(Helper.F_ACTION_EDIT.equals(action)){
                rs = moduleService.access(module,Helper.DB_ACTION_UPDATE);
                module = moduleService.selectByPrimaryKey(module.getModuleid());
            }else if(Helper.F_ACTION_REMOVE.equals(action)){
                rs = moduleService.access(module,Helper.DB_ACTION_DELETE);
            }else{
                return JSON.toJSONString(new Result(false,"請求引數錯誤：action"));
            }
        }catch(Exception e){
            e.printStackTrace();
            return JSON.toJSONString(new Result(false,"操作失敗,出現異常，請聯絡管理員！"));
        }
        if(rs<0){
            return JSON.toJSONString(new Result(false,"操作失敗，請聯絡管理員！"));
        }
        return  JSON.toJSONString(new Result(true,module));
    }

2.5 異常處理器將請求轉發到的控制器請求 forward:/accessDenied

@RequestMapping(value = "/accessDenied",produces = "text/html;charset=UTF-8")
@ResponseBody
public String accessDenied(){
    return JSON.toJSONString(new Result(false,"您沒有許可權對此進行操作！"));
}

2.6 請求校驗不通過時 由上述的控制器返回 結果本身

如下所示：

{"info":"您沒有許可權對此進行操作！","success":false}

2.7 功能校驗service 示例

/**
     * 校驗當前使用者在某個模組的某個功能的許可權
     * @param functionId
     * @return 空字串表示 有許可權 ，否則是錯誤資訊
     * @throws Exception 
     */
    public String permissionValidate(int functionId){
        Object o =  request.getSession().getAttribute(Helper.SESSION_USER);
        //if(o==null)  throw new AuthorizationException(); 
        SysUser loginUser= (SysUser)o;
        if(loginUser.getUserid() == 1) return "";
        try{
            return mapper.permissionValidate(loginUser.getUserid(),functionId);
        }catch(Exception ex){
            ex.printStackTrace();
            return "資料庫操作出現異常！";
        }
    }

說明： 這裡僅僅是對帶有@ValidatePermission和@ResponseBody註解的controller包及其子包所有方法進行切入，這樣肯定是不夠通用的，應該是對帶有@ValidatePermission的方法進行切入，在切面類中通過判斷該方法是否有@ResponseBody註解來丟擲不一樣的異常，若帶有@ResponseBody註解則丟擲上述的異常返回json字串，
否則，應該丟擲另一個自定義異常然後將請求重定向到一個合法的檢視如error.jsp .

通過客戶端傳送 /moduleAccess.do 請求，該請求對應的方法同時具有@ValidatePermission和@ResponseBody，並且有功能Id引數fid,這樣AOP可以切入該方法，執行doBefore通知，通過功能引數fid，對它結合使用者id進行許可權校驗，若校驗通過直接返回，程式繼續執行，否則丟擲自定義異常AccessDeniedException，該異常由系統捕獲（需要配置異常處理器）併發出請求 forward:/accessDenied ，然後對應的控制器 /accessDenied 處理該請求返回一個包含校驗失敗資訊的json給客戶端。這樣傳送 /moduleAccess.do 請求，如果校驗失敗，轉發到了/accessDenied請求，否則正常執行。繞了這麼一個大圈子才實現它。

相關推薦

Spring AOP 實現功能許可權校驗功能

實現功能許可權校驗的功能有多種方法，其一使用攔截器攔截請求，其二是使用AOP拋異常。 首先用攔截器實現未登入時跳轉到登入介面的功能。注意這裡沒有使用AOP切入，而是用攔截器攔截，因為AOP一般切入的是service層方法，而攔截器是攔截控制器層的請求，它本身也

easyui實現輸入格式校驗功能

首先保證easyui環境配置好之後，在需要校驗輸入的jsp頁面定義如下的function： //擴充套件校驗規則 $(function(){ var reg = /^1[3|4|5|7|8|9][0-9]{9}$/; //正則表示式 $.extend

spring aop 實現使用者操作日誌記錄功能

首先寫好一個工具類 LogAspect.java package com.yangjf.commons; import java.lang.reflect.Method; import java.util.Date; import org.aspectj.lang.Join

服務閘道器 Zuul 與 Redis 結合實現 Token 許可權校驗

這兩天在寫專案的全域性許可權校驗，用 Zuul 作為服務閘道器，在 Zuul 的前置過濾器裡做的校驗。 許可權校驗或者身份驗證就不得不提 Token，目前 Token 的驗證方式有很多種，有生成 Token 後將 Token 儲存在 Redis 或資料庫的，也有很多用 JWT（JSON Web Token）

Spring AOP 通用入參校驗終極版

入參校驗一直是程式中一塊雞肋，食之無味卻又不得不吃。經過幾個版本變更，本次專案上線筆者終於將入參校驗應用了稍微高階一點的寫法。 基調：hibernate.validator 實現-低配版 1、引入pom <dependency> <grou

Spring Security原理學習--許可權校驗(四)

      在上一篇部落格Spring Security原理學習--使用者名稱和密碼認證(三)中我們已經瞭解到Spring Security關於使用者名稱和密碼在UsernamePasswordAuthenticationFilter中的認證處理邏輯，接下來我們看看許可權的校

Spring AOP註解的方式校驗引數

簡介： 大家應該對Spring並不陌生，而且對Spring AOP也一樣不陌生。本章講解使用註解AOP方式去校驗引數。首先，介紹一下Spring AOP的原理，Spring AOP採用動態代理實現， 在Spring 容器中的bean被代理物件所代替，代理物件加入了增強邏輯，

Spring Boot 服務端資料-實現資料校驗功能 、資料校驗、解決異常、其他校驗規則。

1、資料校驗 實體類： Controller層：  html 檔案：      2、資料校驗 Controller層：1、在Controller中找到資料校驗的方法 對誰@Valid就是校驗誰。                        2、把

使用Spring Aop實現許可權攔截功能

    最近在做的一個系統需要實現許可權攔截功能，主要是防止一些惡意的使用者直接輸入URL來對我們的系統造成破壞。下面來說以下具體的實現：首先看一下我們定義的Aspect類package com.hhoj.judger.aspect; import java.lang.re

JavaWeb網上圖書商城完整項目--day02-6.ajax校驗功能之頁面實現

ret code 需要 gis 提交 ima date else back 1 、現在我們要在regist.js中實現ajax的功能,使用用戶名到後臺查詢是否註冊，郵箱是否到後臺註冊，驗證碼是否正確的功能 我們來看regist.js的代碼 //該函數在html文檔加載完成

JAVAEE——struts2_04：自定義攔截器、struts2標簽、登陸功能和校驗登陸攔截器的實現

strac htm logs transacti 標識 area 返回 ftw jsp 一、自定義攔截器 　　1.架構 　　 　　2.攔截器創建 //攔截器:第一種創建方式 //攔截器生命周期:隨項目的啟動而創建,隨項目關閉而銷毀 public class MyInt

使用 Spring Aop 與 Mysql 的主從複製功能實現讀寫分離

使用 Spring Aop 與 Mysql 的主從複製功能實現讀寫分離。讀寫分離：將應用程式中對資料庫的寫的操作是一個數據庫；對資料庫讀取資料的是另外一個數據庫。而兩個資料庫的資料需要保證一致。 在應用程式中，可以使用 spring aop 對將要執行的業務方法的特徵進行判斷，如：包含 query、find

利用Java自帶的SimpleDateFormat類實現簡單的日期校驗功能原始碼

      package com.wk import java.awt.EventQueue; import java.awt.Font; import java.awt.GridLayout; import java.awt.ev

MB中訊息集校驗功能實現例子

下載文件到電腦，查詢使用更方便 1下載券  36人已下載 下載 還剩7頁未讀，繼續閱讀 定製HR最喜歡的簡歷 我要定製簡歷 雙擊“ MappingtoQ42 ” ： 5. 釋出訊息流 打包

Struts2資料校驗功能實現

前言 資料校驗一般是校驗表單項的內容。 而驗證的主要通過： 前臺驗證：主要是通過JS驗證資料是否合法！ 後臺驗證：通過後臺java程式碼進行驗證! 那麼，本文主要介紹後端Struts校驗的實現。 回顧之前的資料驗證，主要是在業務邏輯程式碼之前增加if

Spring AOP實現執行緒安全的日誌輸出功能

在我們的工作中很多的時候都需要對介面的輸入和輸出進行監管，這樣可以方便我們對介面的除錯，也方面我們專案後期的維護。 那麼我們怎麼使用spring進行介面的輸入和輸出？ 在之前我們可以直接用spring的攔截器來實現 問題： 1.

登出，註冊，校驗功能開發

用戶 登出 think logout isn 實現 ssi keys response Ctrl+T：進入實現類 <?xml version="1.0" encoding="UTF-8" ?> <!DOCTYPE mapper PUBLIC "-/

Spring-AOP為類增加新的功能

-a ring mat ctx implement 另一個 double tar targe 適配器的簡單應用實現： 　　比如：有一個類Car，在類中有兩個屬性一個為汽車名name，另一個為速度speed。其行為為run()。 　　　　　現在有一輛車BMWCar 增加了GP

Spring MVC實現MultipartFile檔案上傳功能

前端 <!DOCTYPE html> <html> <head> <meta charset="UTF-8"> <title>修改資訊</title> </head> <body

MyEclipse提供比較嚴謹的js校驗功能，因此ExtJs、jQuery等前端框架匯入到MyEclipse後均會提示錯誤，解決辦法

方法一： 1、在MyEclipse選擇選單欄window 2、選擇preferences 3、左側選單樹中展開myeclipse 4、選擇下面的validation 5、將右側表格中javascript validator for Js files 把Buli