场景
现在有个系统，很多接口只需要登录就可以访问，但是有些接口需要授予并验证权限。如果用注解controller的方式控制接口的权限呢？
1、注解声明代码
这个注解是要装饰在controller接口上的。
按照一般权限的设计，有用户(user)-角色(role)-权限(permission)三种实体，他们之间都是多对多关系。
注解声明的时候，可以配置要验证的角色(role)或权限(menu)。所以我这里有两个变量。
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target; /**
* @Author: ivan
* @Description:
* @Date: Created in 19:58 18/5/28
* @Modified By:
*/
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface Authentication {
long[] role() default {};
long[] menu() default {}; }
2、Authentication权限验证Advice
我们以验证角色为例。
第一步，先从controller参数的request cookie里拿到用户登录信息，获取userId，我这里是card。
第二步，查询用户角色数据库，获取该user拥有哪些权限。
第三部，跟@Authentication里配置的权限进行比较，校验成功返回数据，校验失败返回错误码。
使用localthread记录了权限验证处理时间，用来进行监控。
/**
* @Author: ivan
* @Description:
* @Date: Created in 20:00 18/5/28
* @Modified By:
*/
@Aspect
@Component
@Order(-10)
public class AuthenticationAspect { private static Logger logger = LoggerFactory.getLogger(AuthenticationAspect.class); @Autowired
private AuthDao authDao; ThreadLocal<Long> beginTime = new ThreadLocal<Long>(); @Pointcut("@annotation(authentication)")
public void AuthenticationService(Authentication authentication) {
} @Around("AuthenticationService(authentication)")
public Object doAround(ProceedingJoinPoint joinPoint, Authentication authentication) throws Throwable{
beginTime.set(System.currentTimeMillis());
String card = null;
List<Long> roleList = new ArrayList<>();
for (Object arg : joinPoint.getArgs()) {
if (arg != null && arg.getClass() == RequestFacade.class) {
RequestFacade request = (RequestFacade) arg;
card = CookieUtils.getCardFromCookie(request);
if (StringUtils.isEmpty(card)) {
return JsonResult.buildFailResult(-1, 1000, "权限验证未通过", null);
}
List<Role> roles = authDao.getRolesByCard(card);
for (Role role : roles) {
roleList.add(role.getId());
}
break;
}
}
logger.info("[authentication] user={}, roles={}", card, roleList);
long[] aims = authentication.role();
boolean isPass = false;
for (long aim : aims) {
if (roleList.contains(aim)) {
isPass = true;
}
}
if (isPass) {
logger.info("[authentication] authentication pass, cost time: {}", System.currentTimeMillis() - beginTime.get());
return joinPoint.proceed();
} else {
beginTime.set(System.currentTimeMillis());
logger.info("[authentication] authentication reject, cost time: {}", System.currentTimeMillis() - beginTime.get());
return JsonResult.buildFailResult(-1, 1000, "权限验证未通过", null);
} } }
3、使用方法
1、Authentication直接装饰在controller接口上，参数是role={2}，即用户拥有2这个角色的时候拥有访问这个接口的权限。
2、controller第一个参数要是HttpServletRequest request，不然上面从request里面拿用户信息会失败。（这个地方确实不方便）
/**
* 审核接口
*
* @author ivan
* @date 2018/08/02
*/
@Controller
@RequestMapping("/audit")
public class AuditController {
private static final Logger LOGGER = LoggerFactory.getLogger(AuditController.class);
@Resource
private AuditService auditService; @ResponseBody
@PostMapping(value = "/review")
@Authentication(role = {2})
public JsonResult review(HttpServletRequest request, @RequestBody AduitDTO aduitDTO) {
LOGGER.info("[aduitDTO] video service aduitDTO={}" + aduitDTO);
UserInfo userInfo = CookieUtils.getLoginInfoFromCookie(request);
aduitDTO.setCard(userInfo.getCard());
int status = 0;
aduitDTO.setAuditor(userInfo.getCard());
JsonResult jsonResult = null;
if (ListEnum.ZERO.toString().equals(aduitDTO.getType())) {
if (null != aduitDTO.getStatus() && ListEnum.ONE.toString().equals(aduitDTO.getStatus())) {
status = auditService.review(aduitDTO);
jsonResult = JsonResult.buildSuccessResult("审核通过");
}
if (null != aduitDTO.getStatus() && ListEnum.TWO.toString().equals(aduitDTO.getStatus())) {
if(StringUtils.isEmpty(aduitDTO.getReason())){
return JsonResult.buildFailResult(1, 102, "请添加不通过原因！", null);
}
aduitDTO.setAuditTime(DateUtils.parseDateToStr(new Date() ,"yyyy-MM-dd HH:mm:ss"));
status = auditService.updateAduit(aduitDTO);
jsonResult = JsonResult.buildSuccessResult("审核不通过");
}
} return jsonResult;
}
}