基于 Spring AOP 实现安全检查

在现代应用程序中，安全性是一个至关重要的方面。通过对系统中的关键操作进行安全检查，可以有效防止未授权的访问和操作。Spring AOP（面向切面编程）提供了一种优雅的方式来实现安全检查，而无需修改业务逻辑代码。本文将通过具体的实例，演示如何使用 Spring AOP 实现安全检查。

1. 准备工作

首先，确保你的开发环境中已经配置好了以下内容：

• Java 开发环境（推荐 JDK 8 或以上版本）
• Maven 或 Gradle（本文使用 Maven 作为依赖管理工具）
• Spring Framework（本文基于 Spring 5.x 版本）

2. 创建 Maven 项目

我们首先创建一个 Maven 项目，定义基本的目录结构和依赖。

2.1 目录结构

在项目中创建如下目录结构：

spring-aop-security-check/
│
├── src/
│   ├── main/
│   │   ├── java/
│   │   │   └── com/
│   │   │       └── example/
│   │   │           ├── aspect/
│   │   │           │   └── SecurityAspect.java
│   │   │           ├── service/
│   │   │           │   ├── UserService.java
│   │   │           ├── util/
│   │   │           │   └── SecurityContext.java
│   │   │           └── MainApp.java
│   │   └── resources/
│   └── test/
│       └── java/
└── pom.xml

2.2 添加依赖

在 pom.xml 文件中添加 Spring AOP 的依赖：

<dependencies>
    <!-- Spring AOP依赖 -->
    <dependency>
        <groupId>org.springframework</groupId>
        <artifactId>spring-context</artifactId>
        <version>5.3.10</version>
    </dependency>
    <dependency>
        <groupId>org.springframework</groupId>
        <artifactId>spring-aop</artifactId>
        <version>5.3.10</version>
    </dependency>
</dependencies>

3. 实现安全检查功能

接下来，我们将使用 Spring AOP 来实现安全检查功能。我们将创建一个简单的 UserService 类，然后定义一个 SecurityAspect 切面来进行安全检查。

3.1 编写 UserService 类

创建一个简单的服务类 UserService，包含两个方法：

package com.example.service;

import org.springframework.stereotype.Service;

@Service
public class UserService {
    
    public void addUser(String username) {
        System.out.println("Adding user: " + username);
    }

    public void deleteUser(String username) {
        System.out.println("Deleting user: " + username);
    }
}

3.2 创建 SecurityContext 工具类

为了模拟用户身份验证，我们创建一个 SecurityContext 工具类，用于存储当前用户的角色。

package com.example.util;

public class SecurityContext {

    private static ThreadLocal<String> currentUser = new ThreadLocal<>();

    public static void setCurrentUser(String user) {
        currentUser.set(user);
    }

    public static String getCurrentUser() {
        return currentUser.get();
    }

    public static void clear() {
        currentUser.remove();
    }
}

3.3 创建 SecurityAspect 切面

现在，我们定义一个切面 SecurityAspect，用于在调用 UserService 方法前进行安全检查。

package com.example.aspect;

import com.example.util.SecurityContext;
import org.aspectj.lang.ProceedingJoinPoint;
import org.aspectj.lang.annotation.Around;
import org.aspectj.lang.annotation.Aspect;
import org.aspectj.lang.annotation.Pointcut;
import org.springframework.stereotype.Component;

@Aspect
@Component
public class SecurityAspect {

    @Pointcut("execution(* com.example.service.UserService.*(..))")
    public void userServiceMethods() {}

    @Around("userServiceMethods()")
    public Object checkSecurity(ProceedingJoinPoint joinPoint) throws Throwable {
        String user = SecurityContext.getCurrentUser();
        if ("admin".equals(user)) {
            return joinPoint.proceed();
        } else {
            throw new SecurityException("Unauthorized user: " + user);
        }
    }
}

3.4 编写 MainApp 类测试

编写一个简单的 MainApp 类来测试我们的安全检查功能：

package com.example;

import com.example.service.UserService;
import com.example.util.SecurityContext;
import org.springframework.context.ApplicationContext;
import org.springframework.context.annotation.AnnotationConfigApplicationContext;
import org.springframework.context.annotation.ComponentScan;
import org.springframework.context.annotation.Configuration;

@Configuration
@ComponentScan("com.example")
public class MainApp {
    public static void main(String[] args) {
        ApplicationContext context = new AnnotationConfigApplicationContext(MainApp.class);
        UserService userService = context.getBean(UserService.class);

        // 模拟以 admin 用户登录
        SecurityContext.setCurrentUser("admin");
        userService.addUser("Alice");
        userService.deleteUser("Bob");

        // 模拟以非 admin 用户登录
        SecurityContext.setCurrentUser("user");
        try {
            userService.addUser("Charlie");
        } catch (SecurityException e) {
            System.out.println(e.getMessage());
        }

        SecurityContext.clear();
    }
}

3.5 运行结果

运行 MainApp 类，输出如下：

Adding user: Alice
Deleting user: Bob
Unauthorized user: user

从输出结果可以看出，当以 admin 用户登录时，可以正常执行 UserService 的方法；而当以非 admin 用户登录时，系统抛出了 SecurityException，提示未授权用户。

4. 总结

通过本文的实例，我们演示了如何使用 Spring AOP 实现安全检查功能。通过定义切面和连接点，我们能够在不改动业务逻辑代码的情况下，添加额外的横切关注点（如安全检查），从而提高代码的模块化和可维护性。