S2SH基于角色权限拦截

对于B/S应用的权限拦截主要有粗密度和细密度两种：

 

A.粗密度：对于粗密度的权限拦截不过是拦截相应的URL然后再判断例如用户是否登录 如果没登陆跳转到登录页面，已经登录了的就继续执行，对于这种拦截只需要配置一个filter 在web.xml中加入相应的配置 在mapping里面加入要拦截的URL，这个很简单

B.细密度：对于这种拦截是实现例如：商品部的员工不能拥有增删员工的权限，而拥有和商品操作相关的权限 对商品部的员工访问的所有她没有的权限的操作都要拦截 禁止他的执行

       我使用的是基于角色的方式 即把相应的角色拥有的说有权限(SystemPrivilege)放在一个组(PrivilegeGroup)里面,然后将这个组附给应的员工(Employee), 这样我们只要看访问当前操作的用户的权限组里面是否有执行当前操作的权限就能判断了，对于权限的标识有两个属性：模块(module) 和权限值(privilege) 我把它放在了一个类里面 ，也可以不放。 模块表示的是你当前操作的模块 权限值是例如 CRUD 当你有 (product,update)这个权限时即拥有商品模块的更新商品的权限下面是关于权限相关的简单类图 ：

(类图是用Rational Rose画的  由于很久没用过了 里面怎么表示关系忘了 那些什么多对多什么的就没画)

 

实现：对于上面说到的实体类就不详细说了 主要说的是权限拦截 我使用的是基于注解和自定义标签

 

1.首先创建注解类

 

2.有了这个类我们就能在要拦截的方法上加上这个注解了

对于现在的注解而言一点效果都没有 我们只是标注了你要使用该edit()方法那么你就要有(product,update)这个权限

3.要真正的实现拦截了    一开始准备使用spring的AOP技术但是我这个注解是放在action的方法上的并不是service的接口上使用要使用到cglib ，而且当我加上@Aspect标签标注切入点时 action里面所以由spring的IOC注入的service全部为空了，所以想想还是用简单点的东西吧 所以选择了struts2的Interceptor拦截器它也是AOP

import java.lang.reflect.Method;

import javax.servlet.http.HttpServletRequest;

import org.apache.struts2.ServletActionContext;
import org.aspectj.lang.annotation.Aspect;

import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
import com.yixi.shopping.model.privilege.Employee;
import com.yixi.shopping.model.privilege.PrivilegeGroup;
import com.yixi.shopping.model.privilege.SystemPrivilege;
import com.yixi.shopping.model.privilege.SystemPrivilegePK;
import com.yixi.shopping.util.SiteUrl;
import com.yixi.shopping.util.WebUtil;
import com.yixi.shopping.web.action.privilege.Permission;

public class PermissionInterceptor extends AbstractInterceptor {

    private static final long serialVersionUID = -446959629705298377L;

    /**
     * 1、通过动态代理类和反射机制获取调用的方法
     * 2、获取方法的Permission注解
     * 3、获取Permission中包含的权限信息（构造SystemPrivilege权限类）
     * 4、和用户的权限信息进行对比（PrivilegeGroup中的SystemPrivilege）判断用户的权限
     */
    @Override
    public String intercept(ActionInvocation invocation) throws Exception {

        HttpServletRequest request = ServletActionContext.getRequest();
        if(WebUtil.getRequestURI(request).startsWith("/control/")){
            String methodName = invocation.getProxy().getMethod();
            Method method = invocation.getAction().getClass().getMethod(methodName);            
            if(method!=null && method.isAnnotationPresent(Permission.class)){
                System.out.println("Call the Action Method：" + method.toString());
                //获取当期执行的Action上的注解
                Permission permission = method.getAnnotation(Permission.class);
                System.out.println("当前需要的权限为：" + permission.moudle());
                //获取当期执行的Action方法需要的权限
                SystemPrivilege methodPrivilege = new SystemPrivilege(new SystemPrivilegePK(permission.moudle(),permission.methid()));
                //WebUtil.getEmployee(request) 方法是从session中获取保存的employee信息，包括权限集合
                Employee employee = WebUtil.getEmployee(request);
                //循环判断用户是否具有该权限，如果有则继续执行，否则返回提示视图
                for(PrivilegeGroup group : employee.getGroups()){
                    if(group.getPrivileges().contains(methodPrivilege)){
                        return invocation.invoke();
                    }
                }
                System.out.println("权限不足");
                request.setAttribute("message", "你没有执行该操作的权限");
                request.setAttribute("urladdress", SiteUrl.readUrl("control.center.right"));
                return "message";
            }
            System.out.println("未设置权限");
            return invocation.invoke();
        }
        System.out.println("所有权限");
        return invocation.invoke();
    }

}

 

这样你就能实现拦截了，但是问题又来了 在页面上虽然我们不能执行那个操作但是相应的按钮却还在那里 既然我没有修改的权力那么那个修改的按钮就不应该让我看到要完成这个功能就要使用到自定义标签了

B.自定义标签

 

实现：

1.编写标签类 如下：

import java.util.Set;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.jsp.JspException;
import javax.servlet.jsp.tagext.TagSupport;

import com.yixi.shopping.model.privilege.Employee;
import com.yixi.shopping.model.privilege.PrivilegeGroup;
import com.yixi.shopping.model.privilege.SystemPrivilege;
import com.yixi.shopping.model.privilege.SystemPrivilegePK;
import com.yixi.shopping.util.WebUtil;

/**
 * 
 * 定义权限标签
 * @author 罗宏
 *
 */
public class PermissionTaglib extends TagSupport {
    private static final long serialVersionUID = -1603078353787859001L;
    
    private String moudle;
    private String methid;
    public String getMoudle() {
        return moudle;
    }
    public void setMoudle(String moudle) {
        this.moudle = moudle;
    }
    public String getMethid() {
        return methid;
    }
    public void setMethid(String methid) {
        this.methid = methid;
    }
    
    @Override
    public int doStartTag() throws JspException {
        boolean result= false;
        Employee employee = WebUtil.getEmployee((HttpServletRequest) pageContext.getRequest());
        SystemPrivilege systemPrivilege = new SystemPrivilege(new SystemPrivilegePK(moudle, methid));
        Set<PrivilegeGroup> set = employee.getGroups();
        for (PrivilegeGroup privilegeGroup : set) {
            if(privilegeGroup.getPrivileges().contains(systemPrivilege)){
                result = true;
                break;
            }
        }
        return result ? EVAL_BODY_INCLUDE : SKIP_BODY;
    }
}

编写标签类的时候一定要重写它的doStartTag()方法 也就是在页面执行到这个标签后这里后就会执行这个方法  这里里面的代码也是用于权限比较 根据返回的值判断是否执行标签中的内容

2.将自己的标签文件加入到WEB-INF目录下 文件的格式都是一样的

圈起来的地方要注意 没圈的地方可以随意写

 

3.在页面上加注解

 

当加上这个注解后那么就可以根据你的权限的有无显示相应的按钮了。

 

转载请注明出处：http://www.cnblogs.com/yixiwenwen/archive/2012/10/18/2729020.html