m0_63378258的博客

最近在做权限管理，需要获取用户所属的角色信息，但是这些信息通过前端传参很不安全。大家可以试想这么一个场景：有两个用户A和B，A的角色是1，B的角色是2；我登录的是A用户，如果通过前端手动传入角色id获取信息（/getValue/1），我就可以绕过前端，手动向后端发送：/getValue/2，获取不属于我角色能获取到的信息，这样就会出现安全问题。那么这样的问题有解吗？肯定是有的！如果你还是偏爱前端传递，那么只需要把前端传递的roleId和登录角色的roleId进行比较，但是这样操作起来就很麻烦。

前后端分离的场景下，在html页面获取Session中的信息，实现保存用户登录信息，如当前用户：admin

前后端分离场景下向域对象中共享数据，结合多种情况考虑，考虑较为详细，有望解决您的疑惑！

静态代理模式，简单的说就是把核心代码封装给代理类；动态代理，就是动态的生成代理类的过程，简单的说就是我们不需要再重复执行封装代码的过程。

“We use a lot of the tools that come with the Spring framework and reap the benefits of having a lot of the out of the box solutions, and not having to worry about writing a ton of additional code—so that really saves us some time and energy” ——Spring