整理一下若依结构的权限过滤体系

整理一下若依结构的权限过滤体系

首要，咱们直入主题，且看这段代码

/**
 * 获取用户列表
 */
@PreAuthorize("@ss.hasPermi('system:user:list')")
@GetMapping("/list")
public TableDataInfo list(SysUser user)
{
    startPage();
    List<SysUser> list = userService.selectUserList(user);
    return getDataTable(list);
}

能够看到哈

@PreAuthorize(“@ss.hasPermi(‘system:user:list’)”)

对的，便是这一行啦，这一行很重要！这是主要的权限过滤进口

咱们暂且先不去直接剖析怎样完成的，咱们猜一下，这个会是怎样完成的：

这段代码看起来是运用了Spring Security中的@PreAuthorize注解，该注解通常用于办法等级的拜访操控。具体来说，这段代码表明晰一个办法或者类中的某个办法需要用户在履行之前满足特定的权限。

分解一下这段代码：

  • @PreAuthorize注解表明在办法履行之前进行权限验证。
  • "@ss.hasPermi('system:user:list')"是权限表达式，它指定了所需的权限。这儿的权限表达式看起来是Spring Security中自界说的，或许涉及到体系用户列表的权限。

猜测的效果是，只要具有'system:user:list'权限的用户才能履行符号有该注解的办法。这或许是用于限制对体系用户列表相关操作的拜访权限，保证只要授权的用户能够履行这些操作。

请注意，有一次提到了了一个名词Spring Security，先生台甫相比耳熟能详，咱们就再说一下先生吧

springdoc.cn/spring-secu… 中文文档

Spring Security是一个Java结构，用于保护应用程序的安全性。它供给了一套全面的安全解决方案，包括身份验证、授权、防止攻击等功能。Spring Security根据过滤器链的概念，能够轻松地集成到任何根据Spring的应用程序中。它支持多种身份验证选项和授权策略，开发人员能够根据需要挑选适合的办法。此外，Spring Security还供给了一些附加功能，如集成第三方身份验证供给商和单点登录，以及会话管理和暗码编码等。总之，Spring Security是一个强壮且易于运用的结构，能够协助开发人员提高应用程序的安全性和可靠性。【官网介绍】

现在咱们或许接触的有两种安全结构，一种便是大而丰厚的Spring Security，一种便是小而精巧的shiro

这儿不多废话，咱们主要是研究若依怎样完成的权限过滤，咱们就接着聊

首要，现在咱们能够确定一件事，若依运用的Spring Security结构！

紧接着，咱们再看看若依自己封装的hasPermi

package com.ruoyi.framework.web.service;
import java.util.Set;
import org.springframework.stereotype.Service;
import org.springframework.util.CollectionUtils;
import com.ruoyi.common.constant.Constants;
import com.ruoyi.common.core.domain.entity.SysRole;
import com.ruoyi.common.core.domain.model.LoginUser;
import com.ruoyi.common.utils.SecurityUtils;
import com.ruoyi.common.utils.StringUtils;
import com.ruoyi.framework.security.context.PermissionContextHolder;
/**
 * RuoYi创始 自界说权限完成，ss取自SpringSecurity首字母
 * 
 * @author ruoyi
 */
@Service("ss")
public class PermissionService
{
    /**
     * 验证用户是否具有某权限
     * 
     * @param permission 权限字符串
     * @return 用户是否具有某权限
     */
    public boolean
    hasPermi(String permission)
    {
        if (StringUtils.isEmpty(permission))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions()))
        {
            return false;
        }
        PermissionContextHolder.setContext(permission);
        return hasPermissions(loginUser.getPermissions(), permission);
    }
    /**
     * 验证用户是否不具有某权限，与 hasPermi逻辑相反
     *
     * @param permission 权限字符串
     * @return 用户是否不具有某权限
     */
    public boolean lacksPermi(String permission)
    {
        return hasPermi(permission) != true;
    }
    /**
     * 验证用户是否具有以下恣意一个权限
     *
     * @param permissions 以 PERMISSION_DELIMETER 为分隔符的权限列表
     * @return 用户是否具有以下恣意一个权限
     */
    public boolean hasAnyPermi(String permissions)
    {
        if (StringUtils.isEmpty(permissions))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions()))
        {
            return false;
        }
        PermissionContextHolder.setContext(permissions);
        Set<String> authorities = loginUser.getPermissions();
        for (String permission : permissions.split(Constants.PERMISSION_DELIMETER))
        {
            if (permission != null && hasPermissions(authorities, permission))
            {
                return true;
            }
        }
        return false;
    }
    /**
     * 判别用户是否拥有某个人物
     * 
     * @param role 人物字符串
     * @return 用户是否具有某人物
     */
    public boolean hasRole(String role)
    {
        if (StringUtils.isEmpty(role))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles()))
        {
            return false;
        }
        for (SysRole sysRole : loginUser.getUser().getRoles())
        {
            String roleKey = sysRole.getRoleKey();
            if (Constants.SUPER_ADMIN.equals(roleKey) || roleKey.equals(StringUtils.trim(role)))
            {
                return true;
            }
        }
        return false;
    }
    /**
     * 验证用户是否不具有某人物，与 isRole逻辑相反。
     *
     * @param role 人物称号
     * @return 用户是否不具有某人物
     */
    public boolean lacksRole(String role)
    {
        return hasRole(role) != true;
    }
    /**
     * 验证用户是否具有以下恣意一个人物
     *
     * @param roles 以 ROLE_NAMES_DELIMETER 为分隔符的人物列表
     * @return 用户是否具有以下恣意一个人物
     */
    public boolean hasAnyRoles(String roles)
    {
        if (StringUtils.isEmpty(roles))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles()))
        {
            return false;
        }
        for (String role : roles.split(Constants.ROLE_DELIMETER))
        {
            if (hasRole(role))
            {
                return true;
            }
        }
        return false;
    }
    /**
     * 判别是否包括权限
     * 
     * @param permissions 权限列表
     * @param permission 权限字符串
     * @return 用户是否具有某权限
     */
    private boolean hasPermissions(Set<String> permissions, String permission)
    {
        return permissions.contains(Constants.ALL_PERMISSION) || permissions.contains(StringUtils.trim(permission));
    }
}

这是一个自界说权限服务类，用于在应用中进行权限操控。以下是对代码的解说和剖析：

  1. hasPermi 办法：

    • 该办法用于验证用户是否具有某个权限。
    • 获取当时登录用户信息经过 SecurityUtils.getLoginUser()，并查看用户是否为空以及是否有权限信息。
    • 将权限字符串设置到 PermissionContextHolder 中，或许用于在其他当地获取当时权限信息。
    • 最终调用 hasPermissions 办法判别用户是否具有指定的权限。

  2. lacksPermi 办法：

    • 该办法是 hasPermi 办法的逻辑相反，用于验证用户是否不具有某个权限。

  3. hasAnyPermi 办法：

    • 该办法用于验证用户是否具有多个权限中的恣意一个。
    • 经过分隔符 Constants.PERMISSION_DELIMETER 将多个权限字符串分隔成数组，并逐一判别用户是否具有这些权限。

  4. hasRole 办法：

    • 该办法用于验证用户是否具有某个人物。
    • 获取当时登录用户信息，查看用户是否为空以及是否具有人物信息。
    • 遍历用户的人物列表，判别是否具有指定的人物。

  5. lacksRole 办法：

    • 该办法是 hasRole 办法的逻辑相反，用于验证用户是否不具有某个人物。

  6. hasAnyRoles 办法：

    • 该办法用于验证用户是否具有多个人物中的恣意一个。
    • 经过分隔符 Constants.ROLE_DELIMETER 将多个人物字符串分隔成数组，并逐一判别用户是否具有这些人物。

  7. hasPermissions 办法：

    • 该办法用于判别用户是否具有某个权限。
    • 假如用户具有 Constants.ALL_PERMISSION 权限，或者用户的权限列表中包括指定的权限，则回来 true。

这个服务类的效果是简化在代码中进行权限验证的逻辑，经过供给这些办法，能够更便利地进行权限操控。例如，在办法上运用 @PreAuthorize("@ss.hasPermi('system:user:list')") 注解时，实际上会调用 PermissionService 中的 hasPermi 办法来进行权限验证。

在这儿呢，提到了PermissionContextHolder这个办法，其实便是一个上下文

public class PermissionContextHolder
{
    private static final String PERMISSION_CONTEXT_ATTRIBUTES = "PERMISSION_CONTEXT";
    public static void setContext(String permission)
    {
        RequestContextHolder.currentRequestAttributes().setAttribute(PERMISSION_CONTEXT_ATTRIBUTES, permission,
                RequestAttributes.SCOPE_REQUEST);
    }
    public static String getContext()
    {
        return Convert.toStr(RequestContextHolder.currentRequestAttributes().getAttribute(PERMISSION_CONTEXT_ATTRIBUTES,
                RequestAttributes.SCOPE_REQUEST));
    }
}
  1. PermissionContextHolder 类用于在应用程序中的不同部分传递和存储权限信息。
  2. setContext 办法用于设置权限信息，它承受一个表明权限的字符串参数，并将该权限信息存储在当时恳求的特点中，效果规模为恳求等级（RequestAttributes.SCOPE_REQUEST）。
  3. getContext 办法用于获取权限信息，它从当时恳求的特点中检索之前设置的权限信息，并将其作为字符串回来。
  4. 这儿运用了RequestContextHolder.currentRequestAttributes()来获取当时恳求的特点，这是Spring结构供给的一种便利的办法，能够在应用程序中获取与当时恳求相关的特点。
  5. PERMISSION_CONTEXT_ATTRIBUTES 是一个常量，表明权限信息在恳求特点中的键名。

这段代码供给了一个简略的权限上下文管理工具，使得在应用中能够便利地设置和获取权限信息，通常在处理恳求时，能够运用这些工具办法来保证在恳求处理过程中能够便利地传递和获取权限信息。

最后总结

整理一下若依结构的权限过滤体系：

  1. 权限注解：

    • 在若依结构中，运用了Spring Security供给的 @PreAuthorize 注解来进行办法等级的拜访操控。
    • 例如：@PreAuthorize("@ss.hasPermi('system:user:list')") 表明只要具有 'system:user:list' 权限的用户才能履行符号有该注解的办法。这个字符串是前端传递的。

  2. 自界说权限服务类 (PermissionService)：

    • 该类封装了一系列办法，用于在代码中便利地进行权限验证。
    • 供给了对单一权限、多个权限、人物的验证办法，以及这些验证办法的逻辑相反的办法。
    • 经过调用 SecurityUtils.getLoginUser() 获取当时登录用户信息，并经过 PermissionContextHolder 存储和获取权限信息。
    • 经过设置权限信息到上下文，完成在代码中不同当地便利地获取当时恳求的权限信息。

  3. 权限上下文管理工具 (PermissionContextHolder)：

    • 用于在应用程序中传递和存储权限信息。
    • 供给了 setContext 办法用于设置权限信息，以及 getContext 办法用于获取权限信息。
    • 运用了 RequestContextHolder.currentRequestAttributes() 来获取当时恳求的特点，效果规模为恳求等级。

  4. 权限字符串解析：

    • 权限字符串是以 'system:user:list' 这样的格式表明的，其间 'system' 为体系称号，'user' 为模块称号，'list' 为操作称号。这样的权限字符串办法有助于细粒度地操控权限。

  5. Spring Security结构：

    • 若依结构运用了Spring Security作为权限结构，经过装备和注解的办法完成了权限操控。
    • Spring Security供给了强壮的身份验证和拜访操控机制，能够经过装备文件或注解的办法界说权限规矩。

若依结构经过结合Spring Security、自界说权限服务类和权限上下文管理工具，完成了一套灵活且便利集成的权限过滤体系。这样的设计使得在代码中能够经过简略的注解和办法调用完成权限操控，提高了开发效率。