从零开始，手打一个权限管理系统（第五章 权限控制）

最新推荐文章于 2023-08-02 11:22:02 发布
最新推荐文章于 2023-08-02 11:22:02 发布
阅读量346 收藏 1
点赞数 2
分类专栏： 权限管理 Spring 文章标签： java mybatis mysql spring boot
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ailot/article/details/128016576
版权

文章目录

前言

这章主要通过SpringSecurity来实现对权限的控制，权限粒度是到每个方法。

一、token验证

第四章登录我们获取到了token，每次请求的时候都必须验证这个token是否合法、是否过期，所以我们需要一个拦截器来拦截每一次的请求；这里我们可以通过继承OncePerRequestFilter来实现我们对token的验证；当然并不是所有请求都需要拦截，所以还需要一个白名单，来配置不需要被拦截的请求。

@Slf4j
@Configuration
@ConfigurationProperties(prefix = "security.white")
public class PermitUrlProperties {

    @Getter
    @Setter
    private List<String> urls = new ArrayList<>();

}

yml配置：

security:
  white:
    urls:
      - /login
      - /logout

JwtAuthenticationTokenFilter

/**
 * token拦截验证
 */
@Slf4j
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter {

    @Autowired
    private JWTUtil jwtUtil;

    @Autowired
    private PermitUrlProperties permitUrlProperties;

    @Override
    protected void initFilterBean() throws ServletException {
        System.out.println("JwtAuthenticationTokenFilter初始化...");
    }

    @Override
    protected void doFilterInternal(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, FilterChain filterChain) throws ServletException, IOException {
        String requestUrl = httpServletRequest.getRequestURI();
        log.info("请求url：{}", requestUrl);
        // 白名单url放过
        if (filterWhiteUrl(requestUrl)) {
            filterChain.doFilter(httpServletRequest, httpServletResponse);
            return;
        }

        String authToken = httpServletRequest.getHeader(SecurityConstants.AUTHORIZATION);
        if (StrUtil.isBlank(authToken)) {
            Result<String> result = Result.fail();
            result.setMsg("未登录");
            ResponseUtil.response(httpServletResponse, result);
            return;
        }
        boolean checkToken = jwtUtil.checkToken(authToken);
        if (checkToken) {
            Result<String> result = Result.fail();
            result.setMsg("会话已过期,请重新登录");
            httpServletResponse.setStatus(HttpStatus.HTTP_UNAUTHORIZED);
            ResponseUtil.response(httpServletResponse, result);
            return;
        }

        if (SecurityContextHolder.getContext().getAuthentication() == null) {
            //Context中的认证为空，进行token验证
            Claims claims = jwtUtil.getClaimsFromToken(authToken);
            //从jwt中恢复用户信息和权限
            String id = claims.get(JWTUtil.ID, String.class);
            String orgId = claims.get(JWTUtil.ORGID, String.class);
            String username = claims.get(JWTUtil.USERNAME, String.class);
            String authorities = claims.get(JWTUtil.AUTHORITIES, String.class);
            List<String> list = JSON.parseObject(authorities, new TypeReference<List<String>>() {
            });
            JwtUser jwtUser = new JwtUser(id, orgId, username, "", AuthorityUtils.createAuthorityList(list.toArray(new String[0])));
            //如username不为空，并且能够在数据库中查到
            JwtAuthenticationToken jwtAuthenticationToken =
                    new JwtAuthenticationToken(jwtUser.getAuthorities(), jwtUser, null);
            //将authentication放入SecurityContextHolder中
            SecurityContextHolder.getContext().setAuthentication(jwtAuthenticationToken);
        }
        filterChain.doFilter(httpServletRequest, httpServletResponse);
    }

    /**
     * 过滤表名单的url
     *
     * @param url
     * @return
     */
    private boolean filterWhiteUrl(String url) {
        List<String> whiteList = permitUrlProperties.getUrls();
        if (CollectionUtil.isNotEmpty(whiteList)) {
            PathMatcher matcher = new AntPathMatcher();
            for (String releaseUrl : whiteList) {
                boolean match = matcher.match(releaseUrl, url);
                if (match) {
                    return true;
                }
            }
        }
        return false;
    }
}

更新下SpringSecurityConfigurer，将JwtAuthenticationTokenFilter加入配置中，部分代码如下：

	http.addFilterAfter(jwtAuthenticationTokenFilter(),UsernamePasswordAuthenticationFilter.class);

 	@Bean
    JwtAuthenticationTokenFilter jwtAuthenticationTokenFilter() {
        return new JwtAuthenticationTokenFilter();
    }

经过一系列的编译调试后，启动项目验证：

1、获取token
在这里插入图片描述
2、不带token访问主页
在这里插入图片描述
3、带token访问主页
在这里插入图片描述
4、token错误和过期访问主页
在这里插入图片描述

二、权限验证

1、开启全局安全配置

在SpringSecurityConfigurer这个文件上加上@EnableGlobalMethodSecurity(prePostEnabled = true)就可以了，他会解锁 @PreAuthorize 和 @PostAuthorize 两个注解，@PreAuthorize 会在方法执行前进行验证， @PostAuthorize 会在方法执行后进行验证。

2、标记需要校验的方法

我们在IndexController上面加上权限校验，即@PreAuthorize(“hasAuthority(‘sys:index’)”)
在这里插入图片描述

3、自定义未授权处理器

实现AccessDeniedHandler的handle接口即可

JwtAccessDeniedHandler

/**
 * 未授权访问处理
 */
public class JwtAccessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AccessDeniedException e) throws IOException, ServletException {

        Result<String> result = Result.fail(e.getMessage());
        httpServletResponse.setStatus(HttpStatus.HTTP_FORBIDDEN);
        ResponseUtil.response(httpServletResponse, result);
    }
}

把这个加到SpringSecurityConfigurer里面，新增代码如下：

	.exceptionHandling((execption) -> execption
                        // 未授权异常处理
                        .accessDeniedHandler(new JwtAccessDeniedHandler()));

测试未授权

在这里插入图片描述

测试已授权
在JwtUserDetailsServiceImpl的权限列表中加入我们刚刚注解的权限标记sys:index

在这里插入图片描述

重新登录，获取新的token，并请求主页，发现能够正常访问

在这里插入图片描述

3、通过数据库配置权限

前面都是写死的权限，实际项目都是从数据库中查询的，这个项目我们采用RBAC 基于角色的访问控制，将所有权限都赋给角色，将角色赋给具体的用户。

3.1、表设计

用户表sys_user，用来存放用户名、密码等基础信息

CREATE TABLE `sys_user`  (
  `id` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL COMMENT '主键ID',
  `username` varchar(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL COMMENT '用户名',
  `password` varchar(255) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL,
  `phone` varchar(20) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT NULL COMMENT '电话',
  `avatar` varchar(255) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT NULL COMMENT '头像',
  `org_id` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT NULL COMMENT '机构ID',
  `create_time` timestamp NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `update_time` timestamp NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '修改时间',
  `status` char(1) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT '1' COMMENT '1-正常，0-锁定',
  `del_flag` char(1) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT '1' COMMENT '逻辑删除标记（1：显示；0：删除）',
  PRIMARY KEY (`id`) USING BTREE,
  UNIQUE INDEX `uk_username`(`username`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8mb4 COLLATE = utf8mb4_bin COMMENT = '用户表' ROW_FORMAT = Dynamic;

组织机构表sys_org

CREATE TABLE `sys_org`  (
  `id` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NOT NULL,
  `parent_id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
  `sort` int NULL DEFAULT 1 COMMENT '排序',
  `type` char(2) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NOT NULL COMMENT '机构类型',
  `code` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NOT NULL COMMENT '机构编码',
  `name` varchar(50) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '机构名称',
  `phone` varchar(20) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NULL DEFAULT NULL COMMENT '电话',
  `email` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NULL DEFAULT NULL COMMENT '邮箱',
  `address` varchar(500) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NULL DEFAULT NULL COMMENT '地址',
  `remarks` varchar(255) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NULL DEFAULT NULL COMMENT '备注',
  `del_flag` char(1) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT '1' COMMENT '逻辑删除标记（1：显示；0：删除）',
  `status` char(2) CHARACTER SET utf8mb4 COLLATE utf8mb4_0900_ai_ci NULL DEFAULT NULL COMMENT '1:正常，0:锁定',
	`create_time` timestamp NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `update_time` timestamp NULL DEFAULT NULL ON UPDATE CURRENT_TIMESTAMP COMMENT '修改时间',
  PRIMARY KEY (`id`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8mb4 COLLATE = utf8mb4_0900_ai_ci COMMENT = '机构管理' ROW_FORMAT = Dynamic;

菜单表sys_menu，存放对应的菜单和权限标识

CREATE TABLE `sys_menu`  (
  `id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '菜单ID',
  `title` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '菜单名称',
  `permission` varchar(64) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '权限标识',
  `parent_id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '父菜单ID',
  `sort` int NOT NULL DEFAULT 0 COMMENT '排序值',
  `type` char(1) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL COMMENT '菜单类型 （0菜单 1按钮）',
  `create_time` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `update_time` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
  `del_flag` char(1) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT '1' COMMENT '逻辑删除标记（1：显示；0：删除）',
  PRIMARY KEY (`id`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci COMMENT = '菜单权限表' ROW_FORMAT = Dynamic;

角色表sys_role

CREATE TABLE `sys_role`  (
  `id` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL COMMENT '主键',
  `role_name` varchar(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL COMMENT '角色名',
  `role_code` varchar(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NOT NULL COMMENT '角色编码',
  `role_desc` varchar(255) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT NULL COMMENT '角色描述',
  `create_time` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `update_time` timestamp NULL DEFAULT NULL ON UPDATE CURRENT_TIMESTAMP COMMENT '修改时间',
  `del_flag` char(1) CHARACTER SET utf8mb4 COLLATE utf8mb4_bin NULL DEFAULT '1' COMMENT '逻辑删除标记（1：显示；0：删除）',
  PRIMARY KEY (`id`) USING BTREE,
  UNIQUE INDEX `role_id_role_code`(`role_code`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8mb4 COLLATE = utf8mb4_bin COMMENT = '系统角色表' ROW_FORMAT = Dynamic;

角色菜单关系表sys_role_menu，一个角色拥有哪些菜单的权限

CREATE TABLE `sys_role_menu`  (
  `role_id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '角色ID',
  `menu_id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '菜单ID',
  `create_time` timestamp NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  PRIMARY KEY (`role_id`, `menu_id`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci COMMENT = '角色菜单表' ROW_FORMAT = Dynamic;

用户角色表sys_user_role，一个用户拥有哪些角色

CREATE TABLE `sys_user_role`  (
  `user_id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '用户ID',
  `role_id` varchar(32) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '角色ID',
	`create_time` timestamp NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  PRIMARY KEY (`user_id`, `role_id`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci COMMENT = '用户角色表' ROW_FORMAT = Dynamic;

用户和角色是一对多的关系，角色和菜单也是一对多的关系
在这里插入图片描述

3.2、创建实体和实现CRUD

写这些类其实是一个重复的工作，把这个项目写完了，一定要做一个代码生成器，一个一个地敲太费时费力了！！

在这里插入图片描述

4、测试验证

4.1、初始化数据

之前我们开启了权限验证，现在初始化数据的时候先关一下；只需要注释掉SpringSecurityConfigurer上的@EnableGlobalMethodSecurity(prePostEnabled = true)这个注解即可。

接口文档

初始化菜单数据

初始化菜单数据

取消注释，发送登录请求，可以发现权限信息已经全部写进去了，大家会发现新生成的token会比之前大很多，因为写入了权限信息，具体代码可看JWTUtil的createToken方法

在这里插入图片描述

测试访问没有权限的主页

在这里插入图片描述

测试有权限的用户新增

在这里插入图片描述

看看能不能登录

在这里插入图片描述

到这里，这个系统的基本功能大部分都完成了，接下来我将继续完善和优化细节！！！

当前版本：1.0.4
代码仓库

三、 体验地址

后台数据库只给了部分权限，报错属于正常！
想学的老铁给点点关注吧！！！
后期会开源前后端所有代码！！！

我是阿咕噜，一个从互联网慢慢上岸的程序员，如果喜欢我的文章，记得帮忙点个赞哟，谢谢！

.阿咕噜.
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
基于RBAC权限控制模型的后台管理系统
01-20
  该项目主要展示 RBAC 的权限控制效果，并提供员工管理模块以供测试。用户登录系统后，根据用户所关联的角色，查询角色拥有的权限，如：菜单权限、按钮权限。不同角色的用户，所显示的菜单可能也不尽相同。 系统...
Nacos启动异常
you_get_me_there的博客
08-11 6222
可能原因一: 集群切换单机 startup -m standalone 可能原因二: derby-data文件夹内文件解析失败 解决方案: 删了derby-data文件夹重启就行 报错信息(供网友搜索): 2021-08-11 13:11:37,550 WARN Exception encountered during context initialization - cancelling refresh attempt: org.springframework.beans.factory.U
Tomcat启动问题（debug无法启动，正常可以启动）
zhang0135789的博客
11-14 4261
FATAL ERROR in native method: JDWP No transports initialized, jvmtiError=AGENT_ERROR_TRANSPORT_INIT(197) 最近遇到了这样一个问题，项目正常启动没毛病，但是用debug启动就会报上图的这个错误。查了百度，上面很多解决方案，最终找到了答案，不知道什么操作，触动了防火墙，导致防火墙把tomcat
idea中debugger启动就一直卡在这里jwtAuthenticationTokenFilter
最新发布
dowhil的博客
08-02 343
idea中debugger启动就一直卡在这里jwtAuthenticationTokenFilter
spring boot 启动报错 java.lang.IllegalAccessError: javax/el/Util
qianwenzhi的博客
03-14 2471
org.springframework.beans.factory.BeanCreationException: Error creating bean with name 'defaultValidator' defined in class path resource [org/springframework/boot/autoconfigure/validation/ValidationAu...
spring security使用jwt，在进行添加jwt过滤器时(解析jwt)的前提条件
taiguolaotu的博客
03-16 2276
今天在搞jwt的时候，出现一系列的问题。 说明问题。就是用户登录过后，会给用户生成一个token。用户以后发出请求，就需要用户携带这个token。但是用户传过来token的时候，却进不去我的jwt过滤器。这就很苦恼。但是最终还是发现了问题所在，废话不多说，直接上代码 // 基于Token不需要session http.sessionManagement().sessionCreationPolic...
第一行代码Java源代码第5章课程代码包及访问控制权限
10-31
第一行代码Java源代码第5章【课程代码】包及访问控制权限共8页.pdf.zip
8个权限管理系统源码合集【含数据库】.zip
11-06
8个权限管理系统源码合集【含数据库】: Jaoso新闻文章发布系统final+Struts+Spring+Hibernate.rar java web 系统权限设计 源码.rar JAVA权限管理系统2.rar Java酒店管理系统.rar struts+hibernate权限管理系统_...
pig权限管理系统-其他
06-12
pig是一个基于 Spring Cloud Hoxton 、Spring Boot 2.3、 OAuth2 的 RBAC 权限管理系统。同时也基于数据驱动视图的理念封装 element-ui，即使没有 vue 的使用经验也能快速上手。 软件功能： 提供对常见容器化支持 ...
基于SpringBoot + MyBatis + Layui的后台权限管理系统.zip
07-08
基于SpringBoot + MyBatis + Layui的后台权限管理系统。代码简洁易懂、界面美观大方，内部封装了权限管理系统常用的全部功能，可直接作为快速开发JavaWeb项目的脚手架使用。 基于SpringBoot + MyBatis + Layui的...
jwt+token验证
qq_51127361的博客
09-19 1788
导入依赖 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <dependency> <groupId
记一次若依框架添加白名单失效解决办法
Leiou_1的博客
02-27 2589
项目中有接口不需要token校验，需要不登录就可以访问，我将这个接口加入了SecurityConfig的.antMatchers("/files/**").anonymous()中(图一)，然后直接访问，还是回提示没有权限(图二)
为什么Spring Security认证中自定义的JWT过滤器对无token的请求要放行呢？
m0_59483413的博客
02-10 964
为什么Spring Security认证中自定义的JWT过滤器对无token的请求要放行呢？
jet token过期是定时的还是无操作_JWT在开发中的实战操作（附带生产级别代码）...
weixin_39904522的博客
11-21 262
熬夜熬到差不多晚上2点写的，有用的兄弟，必须给我一个关注和大大的赞了！！！！发了上一篇 jwt 相关后 后反响热烈。如果没有来得及去看的话建议先看上一篇。但是也遗留了一些问题。应广大读者的要求。所以从实战角度出发解决这些问题。我们基于 springboot 2.1.6.RELEASE 版本搞一些操作来演示如何在实际开发中使用jwt。主要依赖如下通过spring security 和jwt 进行结合...
SpringSecurity笔记2
蒋劲豪的博客
07-02 307
【代码】SpringSecurity笔记2。
快速理解并实现权限控制
weixin_53818172的博客
07-16 1701
权限控制是指在一个系统或应用中对用户或角色的操作进行限制和管理的过程。它用于确保只有经过授权的用户或角色能够执行特定的操作或访问特定的资源。权限控制是信息安全和访问控制的重要组成部分。权限控制的主要目的是保护系统的安全性和完整性，防止未经授权的用户获取敏感信息、执行非法操作或对系统进行恶意操作。通过权限控制，可以限制用户或角色的访问权限和操作权限，确保系统只能被授权的用户或角色使用，提高系统的安全性。
权限控制介绍
TangHao_0226的博客
08-30 2891
在分布式服务调用时，需要对未知的或者不受信任的请求来源的请求进行识别和拒绝。权限控制一般分为两个阶段：身份识别（Authentication）和权限识别（Authorization）。身份认证主要确定访问者的身份，权限识别则判断这个访问者是否有对应资源的权限。...
认证过滤器
Leon_Jinhai_Sun的博客
06-05 1960
认证
Spring Boot 和 Bootstrap 搭建权限管理系统
qq_38680878的博客
11-27 861
实验1 SpringBoot 项目的安装和配置 实验介绍 从本章节开始，我们将手把手指导大家使用 Spring Boot 创建一个简单的用户权限管理系统。通过实战操作让大家实现从无到开发一个完整的 Web 项目，并从中学习一定的开发经验和开发技巧。作为章节的第一个实验，我们将学习如何使用 Maven 构建一个 Web 项目，如何启动项目，并且通过浏览器的方式访问项目。 知识点 Maven 构建项目 引入 Web 模块 启动 Banner 修改 自定义属性配置 多环境配置 创建一个 Maven 项目 本小
如何从零开始设计一个管理系统
03-11
首先，需要明确管理系统的具体需求和功能，包括数据管理、用户权限、业务流程等方面。然后，根据需求设计数据库结构和表关系，编写代码实现各项功能。同时，需要考虑系统的安全性和稳定性，进行测试和优化，确保系统...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值