Spring实现拥有者权限验证的方法示例

更新时间：2019年03月09日 16:05:12 作者：喵先生的进阶之路

这篇文章主要介绍了Spring实现拥有者权限验证的方法示例，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧

问题描述

在做权限验证的时候，我们经常会遇到这样的情况：教师拥有多个学生，但是在处理学生信息的时候，教师只能操作自己班级的学生。所以，我们要做的就是，当教师尝试处理别的班的学生的时候，抛出异常。

实体关系

用户1:1教师，教师m：n班级，班级1：n学生

实现思路

以findById为例。因为从整体上看，用户和学生是m：n的关系，所以在调用这个接口的时候，获取该学生的所有用户，然后跟当前登录用户进行对比，如果不在其中，抛出异常。

利用切面，我们可以在findById、update、delete方法上进行验证。

注解

我们会在方法上添加注解，以表示对该方法进行权限验证。

@Target(ElementType.METHOD)     // 注解使用在方法上
@Retention(RetentionPolicy.RUNTIME) // 运行时生效
public @interface AuthorityAnnotation {
  /**
   * 仓库名
   */
  @Required
  Class repository();
}

因为我们需要获取出学生，但是并不限于学生，所以就要将仓库repository作为一个参数传入。

实体

上面我们说过，需要获取学生中的用户，所以我们可以在实体中定义一个方法，获取所有有权限的用户：getBelongUsers（）

但是，我们知道，学生和用户没用直接的关系，而且为了复用，在对其他实体进行验证的时候也能使用，可以考虑创建一个接口，让需要验证的实体去实现他。

这样，我们可以在让每个实体都集成这个接口，然后形成链式调用，这样就解决了上面你的两个问题。

public interface BaseEntity {
  List<User> getBelongToUsers();
}

教师：

@Entity
public class Teacher implements YunzhiEntity, BaseEntity {
  ...
  @Override
  public List<User> getBelongToUsers() {
    List<User> userList = new ArrayList<>();
    userList.add(this.getUser());
    return userList;
  }
}

班级：

@Entity
public class Klass implements BaseEntity {
  ...
  @Override
  public List<User> getBelongToUsers() {
    List<User> userList = new ArrayList<>();
    for (Teacher teacher: this.getTeacherList()) {
      userList.addAll(teacher.getBelongToUsers());
    }

    return userList;
  }
}

学生：

@Entity
public class Student implements BaseEntity {
  ...
  @Override
  public List<User> getBelongToUsers() {
    return this.getKlass().getBelongToUsers();
  }
}

切面

有了实体后，我们就可以建立切面实现验证功能了。

@Aspect
@Component
public class OwnerAuthorityAspect {
  private static final Logger logger = LoggerFactory.getLogger(OwnerAuthorityAspect.class.getName());

  /**
   * 使用注解，并第一个参数为id
   */
  @Pointcut("@annotation(com.yunzhiclub.alice.annotation.AuthorityAnnotation) && args(id,..) && @annotation(authorityAnnotation)")
  public void doAccessCheck(Long id, AuthorityAnnotation authorityAnnotation) {   }
  
  @Before("doAccessCheck(id, authorityAnnotation)")
  public void before(Long id, AuthorityAnnotation authorityAnnotation) {
  }

首先，我们要获取到待操作对象。但是在获取对象之前，我们必须获取到repository。

这里我们利用applicationContext来获取仓库bean，然后再利用获取到的bean，生成repository对象。

@Aspect
@Component
public class OwnerAuthorityAspect implements ApplicationContextAware {
  private ApplicationContext applicationContext = null;  // 初始化上下文
  ......
  @Before("doAccessCheck(id, authorityAnnotation)")
  public void before(Long id, AuthorityAnnotation authorityAnnotation) {
    logger.debug("获取注解上的repository, 并通过applicationContext来获取bean");
    Class<?> repositoryClass = authorityAnnotation.repository();
    Object object = applicationContext.getBean(repositoryClass);

    logger.debug("将Bean转换为CrudRepository");
    CrudRepository<BaseEntity, Object> crudRepository = (CrudRepository<BaseEntity, Object>)object;
  }

  @Override
  public void setApplicationContext(ApplicationContext applicationContext) throws BeansException {
    this.applicationContext = applicationContext;
  }
}

该类实现了ApplicationContextAware接口，通过setApplicationContext函数获取到了applicationContext。

接下来，就是利用repository获取对象，然后获取他的所属用户，再与当前登录用户进行比较。

@Before("doAccessCheck(id, authorityAnnotation)")
public void before(Long id, AuthorityAnnotation authorityAnnotation) {
  logger.debug("获取注解上的repository, 并通过applicationContext来获取bean");
  Class<?> repositoryClass = authorityAnnotation.repository();
  Object object = applicationContext.getBean(repositoryClass);

  logger.debug("将Bean转换为CrudRepository");
  CrudRepository<BaseEntity, Object> crudRepository = (CrudRepository<BaseEntity, Object>)object;

  logger.debug("获取实体对象");
  Optional<BaseEntity> baseEntityOptional = crudRepository.findById(id);
  if(!baseEntityOptional.isPresent()) {
    throw new RuntimeException("对不起，未找到相关的记录");
  }
  BaseEntity baseEntity = baseEntityOptional.get();

  logger.debug("获取登录用户以及拥有者，并进行比对");
  List<User> belongToTUsers = baseEntity.getBelongToUsers();
  User currentLoginUser = userService.getCurrentLoginUser();
  Boolean havePermission = false;
  if (currentLoginUser != null && belongToTUsers.size() != 0) {
    for (User user: belongToTUsers) {
      if (user.getId().equals(currentLoginUser.getId())) {
        havePermission = true;
        break;
      }
  }

    if (!havePermission) {
      throw new RuntimeException("权限不允许");
    }
  }
}

使用

在控制器的方法上使用注解：@AuthorityAnnotation，传入repository。

@RestController
@RequestMapping("/student")
public class StudentController {

  private final StudentService studentService;  // 学生

  @Autowired
  public StudentController(StudentService studentService) {
    this.studentService = studentService;
  }

  /**
   * 通过id获取学生
   *
   * @param id
   * @return
   */
  @AuthorityAnnotation(repository = StudentRepository.class)
  @GetMapping("/{id}")
  @JsonView(StudentJsonView.get.class)
  public Student findById(@PathVariable Long id) {
    return studentService.findById(id);
  }
}

出现的问题

实现之后，进行单元测试的过程中出现了问题。

@Test
public void update() throws Exception {
  logger.info("获取一个保存学生");
  Student student = studentService.getOneSaveStudent();
  Long id = student.getId();
  logger.info("获取一个更新学生");
  Student newStudent = studentService.getOneUnSaveStudent();

  String jsonString = JSONObject.toJSONString(newStudent);
  logger.info("发送更新请求");
  this.mockMvc
    .perform(put(baseUrl + "/" + id)
      .cookie(this.cookie)
      .content(jsonString)
      .contentType(MediaType.APPLICATION_JSON_UTF8))
    .andExpect(status().isOk());
}

400的错误，说明参数错误，参数传的是实体，看下传了什么：

我们看到，这个字段并不是我们实体中的字段，但是为什么序列化的时候出现了这个字段呢？

原因是这样的，我们在实体中定义了一个getBelongToUsers函数，然后JSONobject在进行序列化的时候会根据实体中的getter方法，获取get后面的为key，也就是将belongToUsers看做了字段。

所以就出现了上面传实体字段多出的情况，从而引发了400的错误。

解决

我们不想JSONobject在序列化的时候处理getBelongToUsers，就需要声明一下，这里用到了注解：@JsonIgnore。这样在序列化的时候就会忽略它。

@Entity
public class Student implements BaseEntity {
  ......
  @JsonIgnore
  @Override
  public List<User> getBelongToUsers() {
    return this.getKlass().getBelongToUsers();

  }
}

修改后的学生实体如上，其他实现了getBelongToUsers方法的，都需要做相同处理。

总结

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持脚本之家。

您可能感兴趣的文章:

Java接口DAO模式代码原理及应用详解
这篇文章主要介绍了Java接口DAO模式代码原理及应用详解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
2020-11-11
详解SpringBoot如何实现缓存预热
缓存预热是指在 Spring Boot 项目启动时,预先将数据加载到缓存系统（如 Redis）中的一种机制,下面我们就来看看SpringBoot是如何实现缓存预热的吧
2024-01-01
JAVA设计模式之解释器模式详解
这篇文章主要介绍了JAVA设计模式之解释器模式详解,解释器模式是类的行为模式,给定一个语言之后,解释器模式可以定义出其文法的一种表示,并同时提供一个解释器,需要的朋友可以参考下
2015-04-04
如何使用ByteArrayOutputStream下载文件
这篇文章主要介绍了如何使用ByteArrayOutputStream下载文件方式，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教
2021-12-12
java学习指南之字符串与正则表达式
在日常Java后端开发过程中,免不了对数据字段的解析,自然就少不了对字符串的操作,这其中就包含了正则表达式这一块的内容,下面这篇文章主要给大家介绍了关于java学习指南之字符串与正则表达式的相关资料,需要的朋友可以参考下
2023-05-05
Java线程创建静态代理模式代码实例
这篇文章主要介绍了Java线程创建静态代理模式代码实例,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
2020-11-11
java -jar/-cp启动添加外部的依赖包方式
这篇文章主要介绍了java -jar/-cp启动添加外部的依赖包方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
2024-01-01
解决spring boot创建项目遇到配置的问题
这篇文章主要介绍了解决spring boot创建项目遇到配置的问题，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教
2021-09-09
SPRING管理XML方式过程解析
这篇文章主要介绍了SPRING管理XML方式过程解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
2019-10-10
Java安全框架——Shiro的使用详解(附springboot整合Shiro的demo)
这篇文章主要介绍了Java安全框架——Shiro的使用详解，帮助大家更好的理解和学习使用Shiro，感兴趣的朋友可以了解下
2021-04-04

Spring实现拥有者权限验证的方法示例

相关文章

最新评论

大家感兴趣的内容

最近更新的内容

常用在线小工具