struts2的权限控制思路

这两天接触的一个项目的权限控制思路，控制页面权限、action权限、页面内容权限

1用户

2角色

3权限组

4权限

5菜单

权限控制的5个基本模块： 

• 用户： 用户与角色关联
• 角色： 角色与权限关联
  • 　　给角色赋予权限：将所有权限列出：

• 

         

• 权限组：用于归类权限
• 权限：
  • 权限可以是一个菜单（当权限的url和菜单的url相同时即为菜单权限）
    • 获取菜单列表时根据权限过滤菜单：

    • 　　if (menuUrl.equals(auth.getUrl()) || (user!=null && user.getId().equals(1L))) { //或者为超级用户的话也显示
      			menuJson.setIsHidden(false);// 有权限，显示

  • 也可以为页面内容权限（当权限的url为”#***“的标识为功能权限，使用自”定义标签控制“页面内容权限的显示隐藏）
    • 　　JSP页面：

      <auth:showhtml url="#hpgg">
              <%--自定义标签..需要根据权限显示隐藏的内容--%>
      </auth:showhtml>

  • 也可以是action权限（将每一个action都加到权限中，使用struts的拦截器判断action是否有url权限）
  • 　　配置拦截器：

  • <package name="my-default" extends="json-default">
    <interceptor name="loginInterceptor" class="***.*.**.LoginInterceptor" />
    <interceptor name="authInterceptor" class="***.*.**.AuthInterceptor" />    
    
    <interceptors>
    <interceptor-stack name="loginStack">
    <interceptor-ref name="authInterceptor" >
    <param name="excludeMethods">login,loginout</param>
    </interceptor-ref>
    </interceptor-stack>
    </interceptors>
    
            <default-interceptor-ref name="loginStack"></default-interceptor-ref>
    </package>
    
    

    
    <package name="*" extends="my-default">
    <action name="*" class="*" >

    ****

    </action>
    </package>

  • 拦截器代码：

  • @SuppressWarnings("serial")
    public class AuthInterceptor extends MethodFilterInterceptor {
    
        @SuppressWarnings("unchecked")
        @Override
        protected String doIntercept(ActionInvocation invocation) throws Exception {
            String url = invocation.getProxy().getActionName().trim() + "!"
                    + invocation.getProxy().getMethod().trim();
    
            Map map = invocation.getInvocationContext().getSession();
    
            User_info user = (User_info) map.get("user");
    
            boolean i = false;
            Set<Role> roles = user.getRoles();
            if (roles == null || roles.size() == 0) { // 无角色不能访问
    
                return "noAuth";
            }
    
            for (Role role : roles) {
    
                for (Auth auth : role.getAuths()) {
                    if (url.equals(auth.getUrl())) {
                        i = true;
                        break;
                    }
                }
                if (i == true) {
                    break;
                }
    
            }
    
            if (i) {
                return invocation.invoke();
            } else {
                return "noAuth";
            }
    
        }
    
    }

  • • 　　权限列表：
  •