springboot开发中常见的安全性问题与解决方案（不使用安全框架）(1)

第一个问题可以整合springsecurity框架使用@PreAuthorize 注解解决，可以在方法上加上@PreAuthorize(“hasAnyRole(‘admin’)”)，表示拥有admin角色的用户都可以访问deleleRole()方法。但是这种只能解决第一种问题，无法解决第二种问题。

接下来，我来谈谈我在开发中怎么解决上面的两个问题。

第一个问题，由于我没有使用springsecurity框架，所以我是在拦截器中对访问的所有请求进行拦截，将拦截器中的uri与Controller层的主路径，当前用户的权限信息进行比较，代码如下

Controller层如下：

这样处理的话，需要保证其他地方不会出现sys/user和sys/role

第二个问题的话，我首先是在数据库的user表中加入了is_parent字段，表示父用户，然后再对应的getUserById、updateUserById，deleteById中加入了如下判断，先判断是否是管理员，是，可操作，不是，从redis中获取当前用户id，判断两用户id是否相等，相等可操作，不相等，判断当前用户是否是被操作用户的父用户，是，可操作，不是，返回错误信息。具体代码如下(为方便展示直接写在controller层中)：

最后就是getAllUser方法，从redis中获取当前登录用户的角色信息，判断当前角色是否是管理员，如果是管理员，就返回所有的用户信息，如果不是，就返回子用户信息。

最后

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

如果你觉得这些内容对你有帮助，需要这份全套学习资料的朋友可以戳我获取！！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！**