用 Intercepter + 自创注解，实现基于 URL 的权限控制，轻松拿捏！

2023-11-14 16:56:17

基于URL的权限控制：通过拦截器和自创注解实现

前言

权限控制是软件开发中必不可少的环节。它确保只有经过授权的用户才能访问特定的功能或资源。在过去，我们使用后缀为“.do”来判断请求是否需要权限控制。然而，这种方法不够灵活，并且与前端代码耦合度高。因此，我们采用了一种新的方法：使用拦截器和自创注解来实现基于URL的权限控制。

解决方案

我们的解决方案包括两个部分：拦截器和自创注解。

拦截器

拦截器是一种Spring框架提供的机制，它可以拦截所有请求并对其进行处理。我们创建了一个名为AuthInterceptor的拦截器，它负责判断请求的URL后缀是否为“.do”。如果是，则继续进行权限判断；否则，直接放行。

@Component
public class AuthInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String uri = request.getRequestURI();
        if (uri.endsWith(".do")) {
            // 进行权限判断
            return true;
        } else {
            // 直接放行
            return false;
        }
    }
}

自创注解

自创注解是一种Java机制，它允许我们在代码中添加元数据。我们创建了一个名为Auth的自创注解，它用于标记需要权限控制的方法。

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface Auth {

    // 权限名称
    String value();
}

在需要进行权限控制的方法上添加@Auth注解，并指定权限名称。

@Controller
public class UserController {

    @Auth("user:add")
    @RequestMapping("/addUser")
    public String addUser() {
        // ...
    }
}

权限判断

在AuthInterceptor拦截器中，我们通过反射获取方法上的@Auth注解，并判断当前用户是否拥有该权限。

@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    // ...
    Method method = ((HandlerMethod) handler).getMethod();
    Auth auth = method.getAnnotation(Auth.class);
    if (auth != null) {
        // 判断当前用户是否拥有该权限
        if (!currentUser.hasPermission(auth.value())) {
            // 无权限，返回 403
            response.setStatus(403);
            return false;
        }
    }
    // ...
}