SpringBoot如何通过自定义注解实现权限检查详解

本文介绍如何通过自定义注解在SpringBoot中实现权限校验。我们可以通过自定义注解，并在接口中使用该注解来达到对该接口的访问权限控制的目的。

实现原理

在SpringBoot中，我们可以通过AOP（面向切面编程）的方式来实现权限控制。具体过程如下：

1. 定义一个自定义注解，用于标识哪些接口需要鉴权；
2. 定义一个切面，用于拦截被自定义注解标识的方法；
3. 在切面中根据注解中的信息来判断是否有权限访问该方法；
4. 如果有权限，则继续执行该方法；如果没有权限，则返回相应的错误信息。

代码示例：

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface Permission {
  String[] value() default "";
}

@Aspect
@Component
public class PermissionAspect {

  @Autowired
  private UserService userService;

  @Pointcut("@annotation(com.example.demo.annotation.Permission)")
  public void permissionCheck() {}

  @Around("permissionCheck()")
  public Object around(ProceedingJoinPoint pjp) throws Throwable {
    MethodSignature methodSignature = (MethodSignature) pjp.getSignature();
    Method method = methodSignature.getMethod();
    Permission permission = method.getAnnotation(Permission.class);
    String[] roles = permission.value();
    // 检查用户是否有操作权限
    if (userService.hasPermission(roles)) {
      return pjp.proceed();
    } else {
      throw new UnauthorizedException("用户无权限访问该接口！");
    }
  }
}

在上面的代码中，我们定义了一个自定义注解Permission，用于标识哪些接口需要鉴权。然后我们定义了一个切面PermissionAspect，用于拦截被注解标识的方法，并在权限检查通过后继续执行该方法，否则返回相应的错误信息。

示例

假设我们的系统中有两种角色，分别为管理员和普通用户，管理员有管理权限，普通用户没有管理权限。我们可以在管理员需要权限控制的接口上标记Permission注解。

代码示例：

@RestController
public class UserController {

  @Autowired
  private UserService userService;

  /**
   * 需要管理权限才能访问的接口
   */
  @Permission({"admin"})
  @GetMapping("/admin/users")
  public List<User> getUsers() {
    return userService.getAllUsers();
  }

  /**
   * 不需要权限控制的接口
   */
  @GetMapping("/users")
  public List<User> getAllUsers() {
    return userService.getAllUsers();
  }
}

在上面的代码中，我们标记了一个需要管理权限才能访问的接口，另一个不需要权限控制的接口。

当普通用户访问/admin/users时，会得到一个UnauthorizedException异常，提示用户无权限访问该接口。

当管理员访问/admin/users时，会得到该接口的结果，即所有用户列表。

通过上述示例，我们可以看到通过自定义注解，我们可以在接口级别上进行权限控制。