Java SpringBoot 使用拦截器作为权限控制的实现方法

下面我详细讲解“Java SpringBoot 使用拦截器作为权限控制的实现方法”的完整攻略。

前言

在 Web 应用中，通常需要对不同的用户（或用户组）进行权限控制，以保证数据和资源的安全。其中，Spring Security 是目前比较流行的安全框架，它提供了很多种安全特性，比如：认证、授权、防止 CSRF 攻击等。然而，在某些场景下，我们可能只需要简单的权限控制，这时使用 Spring Security 可能会显得过于臃肿。因此，使用 SpringBoot 中的拦截器来实现权限控制是一种较为简单和轻量级的方法。

实现步骤

1. 创建拦截器

首先，在 SpringBoot 中创建一个拦截器，用于在请求进入 Controller 前进行拦截。以下是一个简单的实现示例：

public class LoginInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("token");
        if (token == null || !token.equals("123456")) {
            response.getWriter().write("Token Error");
            return false;
        }
        return true;
    }
}

上述代码实现了一个简单的拦截器，拦截了所有请求，并检查 Header 中的 token 是否为预设值。如果不是，则返回 “Token Error”。

2. 配置拦截器

创建完拦截器后，需要在 SpringBoot 项目中配置拦截器。具体方法是在配置文件中新增一个配置类，继承 WebMvcConfigurerAdapter，并重写其中的 addInterceptors 方法。以下是一个示例：

@Configuration
public class WebConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new LoginInterceptor()).addPathPatterns("/**").excludePathPatterns("/login");
    }
}

上述代码中，我们将 LoginInterceptor 添加到了 InterceptorRegistry 中，并指定了拦截路径为 / 及其子路径，但排除了 /login。

在这里，我们要注意一点，即在拦截器中排除静态资源的访问，否则将可能会出现样式或 js 文件无法加载的情况。

registry.addInterceptor(new LoginInterceptor())
    .addPathPatterns("/**")
    .excludePathPatterns("/login", "/static/**");

3. 使用示例

使用时，只需要在需要进行权限控制的方法上添加注解即可，以下是示例：

@RestController
public class UserController {
    @GetMapping("/user")
    @Auth // 添加 @Auth 注解，表示需要权限控制
    public String getUser() {
        return "User Info";
    }

    @GetMapping("/login")
    public String login() {
        return "Login Page";
    }
}

上述代码中，我们在 getUser 方法上添加了 @Auth 注解，表示该方法需要进行权限控制。

另一个使用示例是指定权限控制的角色。需要在拦截器中添加一个名为 roles 的参数，并在 preHandle 方法中进行判断，以下是示例：

public class RoleInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("token");
        String role = request.getHeader("role");
        if (token == null || !token.equals("123456")) {
            response.getWriter().write("Token Error");
            return false;
        }
        if (role == null || !role.equals("admin")) {
            response.getWriter().write("Role Error");
            return false;
        }
        return true;
    }
}

@Configuration
public class WebConfig extends WebMvcConfigurerAdapter {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new RoleInterceptor())
                .addPathPatterns("/admin/**")
                .excludePathPatterns("/login");
    }
}

@RestController
public class AdminController {
    @GetMapping("/admin/user")
    @Auth(role = "admin") // 指定需要控制的角色
    public String getUser() {
        return "Admin User Info";
    }

    @GetMapping("/login")
    public String login() {
        return "Login Page";
    }
}

上述代码中，我们创建了一个名为 RoleInterceptor 的拦截器，它会检查请求 Header 中的 role 参数是否为 admin。在 WebConfig 中，我们将该拦截器应用到 /admin/** 路径上。在 AdminController 中，我们在 getUser 方法上添加了 @Auth(role = "admin") 注解，表示该方法需要进行权限控制，并指定了需要的角色为 admin。

总结

本文介绍了 SpringBoot 中使用拦截器进行权限控制的实现方法，并给出了两个示例。使用拦截器实现权限控制可以较为简单地实现对不同请求的权限控制，比较轻量级，对于一些简单的权限控制场景来说是一个不错的选择。