Spring Boot 通过AOP和自定义注解实现权限控制的方法

为了实现权限控制，你可以使用Spring AOP和自定义注解。在这个过程中，AOP用于实施横切关注点，而自定义注解用于定义访问控制的规则。

以下是实现权限控制的完整攻略：

第一步：创建自定义注解

首先，在你的项目中定义一个自定义注解。自定义注解用于定义哪些方法需要进行安全性检查，这样你就可以在运行时进行安全性检查。

@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
public @interface RequiredPermission {
    String[] value();
}

这个注解被命名为RequiredPermission，它是一个标记注解，因此没有成员。

第二步：定义切面

然后创建一个切面，用于实施访问控制。该切面在方法被调用前检查用户是否有足够的权限。

@Aspect
@Component
public class PermissionAspect {

    @Autowired
    private UserService userService;

    @Around(value = "@annotation(requiredPermission)")
    public Object checkPermission(ProceedingJoinPoint pjp, RequiredPermission requiredPermission) throws Throwable {
        User currentUser = userService.getCurrentUser();
        if (currentUser == null) {
            throw new RuntimeException("Unknown user");
        }

        String[] permissionList = requiredPermission.value();
        if (Arrays.stream(permissionList).noneMatch(permission -> currentUser.hasPermission(permission))) {
            throw new RuntimeException("Access denied");
        }

        return pjp.proceed();
    }

}

该切面被注解为@Aspect，这表明它是一个面向切面的类。此外，我们还将其注解为一个Spring组件。

该切面包含一个checkPermission方法。该方法接受一个ProceedingJoinPoint参数，它表示正在调用的方法。它还接受一个RequiredPermission参数，它是我们自定义注解。

该方法首先获取当前用户，并验证用户是否已经登录。然后，它检查用户是否有访问受保护方法所需的所有权限。如果用户没有所需的权限，则抛出一个运行时异常。

第三步：使用切面

现在你已经定义了一个切面，可以开始使用它了。要使用该切面，请将@RequiredPermission注解放在方法上。

@Controller
public class MyController {

    @RequestMapping("/secure")
    @RequiredPermission({"view", "edit"})
    public String securePage(Model model) {
        // Page logic here
        return "secure";
    }

}

在这个示例中，securePage方法将由PermissionAspect拦截。该方法被注释为@RequiredPermission，因此它只有在用户有view和edit权限时才会运行。

示例1：控制器

@Controller
public class UserController {

    @Autowired
    private UserService userService;

    @RequestMapping(value = "/users", method = RequestMethod.GET)
    @RequiredPermission({"view_user"})
    public String getUsers(Model model) {
        List<User> users = userService.getUsers();
        model.addAttribute("users", users);
        return "users";
    }

    @RequestMapping(value = "/users/{id}", method = RequestMethod.GET)
    @RequiredPermission({"view_profile"})
    public String getUserProfile(@PathVariable("id") long id, Model model) {
        User user = userService.getUserById(id);
        model.addAttribute("user", user);
        return "user_profile";
    }
}

这个示例演示了如何使用RequiredPermission注解在控制器方法上进行权限控制。getUsers方法被注解为@RequiredPermission({"view_user"})，这意味着只有用户拥有view_user权限才能访问该方法。同样，getUserProfile方法被注解为@RequiredPermission({"view_profile"})，这意味着只有用户拥有view_profile权限才能访问该方法。

示例2：服务层方法

@Service
public class UserServiceImpl implements UserService {

    @Autowired
    private UserRepository userRepository;

    @Override
    @RequiredPermission({"create_user"})
    public void createUser(User user) {
        userRepository.save(user);
    }

    @Override
    @RequiredPermission({"edit_user"})
    public void editUser(User user) {
        userRepository.save(user);
    }

}

该示例演示了如何在服务层方法上使用RequiredPermission注解进行权限控制。createUser方法和editUser方法都被注解为@RequiredPermission，这意味着只有用户有create_user或edit_user的权限才能调用这些方法。

这些示例展示了如何使用AOP和自定义注解在Spring Boot中实现权限控制。通过检查用户是否有足够的权限，你可以保护你的Web应用程序免受恶意攻击和非法访问。