数据权限的设计与实现系列3——MybatisPlus数据权限插件实现机制及使用示例

已于 2024-08-25 14:25:01 修改
阅读量1.1k 收藏 28
点赞数 14
分类专栏： # 数据权限 文章标签： 数据权限 数据权限设计 数据权限插件 Mybatisplus 数据权限实现
于 2024-08-13 09:58:53 首次发布
本文为博主原创文章，未经博主允许不得转载。
本文链接：https://blog.csdn.net/seawaving/article/details/141156102
版权

背景

上篇我们深度剖析了若依开发平台关于数据权限的设计与实现，并指出了其模式的局限性。
今天我们来看一下MyBatisPlus提供的数据权限插件的实现机制与使用示例。
官方说明：https://baomidou.com/plugins/data-permission/
‍
‍

实现机制

在 SQL 执行前拦截 SQL 语句，并根据用户权限动态添加权限相关的 SQL 片段。这样，只有用户有权限访问的数据才会被查询出来。
拦截SQL语句是基于拦截器技术实现的，修改SQL语句是基于开源的 SQL 解析库JSQLParser完成的 。
‍
JSQLParser的解析功能示例如下：

// 示例 SQL
String sql = "SELECT * FROM user WHERE status = 'active'";
Expression expression;

try {
    expression = CCJSqlParserUtil.parseCondExpression("status = 'inactive'");
    PlainSelect select = (PlainSelect) ((Select) CCJSqlParserUtil.parse(sql)).getSelectBody();
    select.setWhere(expression);

    System.out.println(select); // 输出：SELECT * FROM user WHERE status = 'inactive'
} catch (JSQLParserException e) {
    e.printStackTrace();
}

‍

使用方式

1.实现数据权限逻辑

官方提供了一个MultiDataPermissionHandler类，需要继承该类，覆写getSqlSegment方法，自行处理数据权限逻辑，也就是需要追加的数据权限过滤的SQL片段。

public class CustomDataPermissionHandler extends MultiDataPermissionHandler {
    @Override
    public Expression getSqlSegment(Table table, Expression where, String mappedStatementId) {
        // 在此处编写自定义数据权限逻辑
        try {
            String sqlSegment = "..."; // 数据权限相关的 SQL 片段
            return CCJSqlParserUtil.parseCondExpression(sqlSegment);
        } catch (JSQLParserException e) {
            e.printStackTrace();
            return null;
        }
    }
}

2.注册数据权限拦截器

修改MybatisPlus拦截器的配置类，将数据权限插件加入进去，并且注意需要放在分页插件之前。

    @Bean
    public MybatisPlusInterceptor mybatisPlusInterceptor() {
        MybatisPlusInterceptor interceptor = new MybatisPlusInterceptor();
        // 1.添加数据权限插件
        interceptor.addInnerInterceptor(new DataPermissionInterceptor(new CustomDataPermissionHandler ()));
        // 2.添加分页插件
        PaginationInnerInterceptor pageInterceptor = new PaginationInnerInterceptor();   
        interceptor.addInnerInterceptor(pageInterceptor);
        return interceptor;
    }

实际上，MybatisPlus的数据权限插件，只提供了一个框架，并不是完整实现，核心的数据权限逻辑部分，需要自行实现。
‍

数据权限逻辑的实现

打算找个具体的例子来补全拼图，去网上搜了大量资料，最终找到了这么一篇相对完整的示例。
https://blog.csdn.net/qq_42402854/article/details/139099661
整体实现思路与上篇提到的若依开发平台类似，但也存在一些差异，做了一些改进，下面具体来说说。
‍

定义数据权限范围

同样设定了5种数据范围，使用枚举类型定义，相比若依平台的5个零散的字符串常量，更优雅一些。

缓存数据权限

若依开发平台是在业务实体的基类的params属性中，通过一个约定键名为dataScope来存放需要追加的SQL片段。
本示例中则是扩展了权限控制组件SpringSecurity的用户对象UserDetails，增加了数据权限的属性，即在用户登录，系统认证完成后，查询当前用户所拥有的角色，进而查询角色对应的数据权限范围，然后存到用户对象中备用。

定义数据权限注解

与若依平台实现，有所差异和改进。
一方面，使用一个公用属性tableAlias来处理部门表和用户表别名问题，而不是若依开发平台中的两个，意味着某些场景下复杂SQL语句如果同时涉及到部门表和用户表，则无法控制。不过是否真的存在这种场景存疑，主要是逻辑处理中是或关系，同时设置了部门维度和用户维度，实质上也会造成数据范围的扩大吧。
另一方面，若依平台只考虑了表别名问题，字段名则是硬编码到处理逻辑中去了，隐性要求业务表中部门id必须是dept_id,用户id必须是user_id。本示例中则考虑了该问题，进行了改进，使用deptScopeName来定义部门字段名，oneselfScopeName来定义用户字段名。

实现数据权限逻辑

接下来就是最关键的部分，也就是MybatisPlus数据权限插件中要求的自定义权限逻辑处理器的实现，源码如下：

/**
 * 数据权限拼装逻辑处理
 *
 */
public class DataScopeHandler implements MultiDataPermissionHandler {

    /**
     * 获取数据权限 SQL 片段。
     * <p>旧的 {@link MultiDataPermissionHandler#getSqlSegment(Expression, String)} 方法第一个参数包含所有的 where 条件信息，如果 return 了 null 会覆盖原有的 where 数据，</p>

     * <p>新版的 {@link MultiDataPermissionHandler#getSqlSegment(Table, Expression, String)} 方法不能覆盖原有的 where 数据，如果 return 了 null 则表示不追加任何 where 条件</p>

     *
     * @param table             所执行的数据库表信息，可以通过此参数获取表名和表别名
     * @param where             原有的 where 条件信息
     * @param mappedStatementId Mybatis MappedStatement Id 根据该参数可以判断具体执行方法
     * @return JSqlParser 条件表达式，返回的条件表达式会拼接在原有的表达式后面（不会覆盖原有的表达式）
     */
    @Override
    public Expression getSqlSegment(Table table, Expression where, String mappedStatementId) {
        try {
            Class<?> mapperClazz = Class.forName(mappedStatementId.substring(0, mappedStatementId.lastIndexOf(".")));
            String methodName = mappedStatementId.substring(mappedStatementId.lastIndexOf(".") + 1);

            /**
             * DataScope注解优先级：【类上 > 方法上】
             */
            // 获取 DataScope注解
            DataScope dataScopeAnnotationClazz = mapperClazz.getAnnotation(DataScope.class);
            if (ObjectUtils.isNotEmpty(dataScopeAnnotationClazz) && dataScopeAnnotationClazz.enabled()) {
                return buildDataScopeByAnnotation(dataScopeAnnotationClazz);
            }
            // 获取自身类中的所有方法，不包括继承。与访问权限无关
            Method[] methods = mapperClazz.getDeclaredMethods();
            for (Method method : methods) {
                DataScope dataScopeAnnotationMethod = method.getAnnotation(DataScope.class);
                if (ObjectUtils.isEmpty(dataScopeAnnotationMethod) || !dataScopeAnnotationMethod.enabled()) {
                    continue;
                }
                if (method.getName().equals(methodName) || (method.getName() + "_COUNT").equals(methodName) || (method.getName() + "_count").equals(methodName)) {
                    return buildDataScopeByAnnotation(dataScopeAnnotationMethod);
                }
            }
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        }
        return null;
    }

    /**
     * DataScope注解方式，拼装数据权限
     *
     * @param dataScope
     * @return
     */
    private Expression buildDataScopeByAnnotation(DataScope dataScope) {
        // 获取 UserDetails用户信息
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication == null) {
            return null;
        }
        Map<String, Object> userDetailsMap = BeanUtil.beanToMap(authentication.getPrincipal());
        Set<String> dataScopeTypes = (Set<String>) userDetailsMap.get("dataScopeTypes");
        Set<Long> dataScopeDeptIds = (Set<Long>) userDetailsMap.get("dataScopeDeptIds");
        Long dataScopeCreateId = (Long) userDetailsMap.get("dataScopeCreateId");

        // 获取注解信息
        String tableAlias = dataScope.tableAlias();
        String deptScopeName = dataScope.deptScopeName();
        String oneselfScopeName = dataScope.oneselfScopeName();
        Expression expression = buildDataScopeExpression(tableAlias, deptScopeName, oneselfScopeName, dataScopeDeptIds, dataScopeCreateId);
        return expression == null ? null : new Parenthesis(expression);
    }

    /**
     * 拼装数据权限
     *
     * @param tableAlias        表别名
     * @param deptScopeName     部门限制范围的字段名称
     * @param oneselfScopeName  本人限制范围的字段名称
     * @param dataScopeDeptIds  数据权限部门ID集合，去重
     * @param dataScopeCreateId 数据权限本人ID
     * @return
     */
    private Expression buildDataScopeExpression(String tableAlias, String deptScopeName, String oneselfScopeName, Set<Long> dataScopeDeptIds, Long dataScopeCreateId) {
        /**
         * 构造部门in表达式。
         */
        InExpression deptIdInExpression = null;
        if (CollectionUtils.isNotEmpty(dataScopeDeptIds)) {
            deptIdInExpression = new InExpression();
            ExpressionList deptIds = new ExpressionList(dataScopeDeptIds.stream().map(LongValue::new).collect(Collectors.toList()));
            // 设置左边的字段表达式，右边设置值。
            deptIdInExpression.setLeftExpression(buildColumn(tableAlias, deptScopeName));
            deptIdInExpression.setRightExpression(new Parenthesis(deptIds));
        }

        /**
         * 构造本人eq表达式
         */
        EqualsTo oneselfEqualsTo = null;
        if (dataScopeCreateId != null) {
            oneselfEqualsTo = new EqualsTo();
            oneselfEqualsTo.withLeftExpression(buildColumn(tableAlias, oneselfScopeName));
            oneselfEqualsTo.setRightExpression(new LongValue(dataScopeCreateId));
        }

        if (deptIdInExpression != null && oneselfEqualsTo != null) {
            return new OrExpression(deptIdInExpression, oneselfEqualsTo);
        } else if (deptIdInExpression != null && oneselfEqualsTo == null) {
            return deptIdInExpression;
        } else if (deptIdInExpression == null && oneselfEqualsTo != null) {
            return oneselfEqualsTo;
        }
        return null;
    }

    /**
     * 构建Column
     *
     * @param tableAlias 表别名
     * @param columnName 字段名称
     * @return 带表别名字段
     */
    public static Column buildColumn(String tableAlias, String columnName) {
        if (StringUtils.isNotEmpty(tableAlias)) {
            columnName = tableAlias + "." + columnName;
        }
        return new Column(columnName);
    }
}

代码中的注释写的比较详细，这里不再赘述，有几个关键点提一下：
1.对于getSqlSegment方法的入参，具体什么含义，怎么用，MybatisPlus官网其实没提，而示例给了详细的注释和说明，这一点挺好。特别是第三个参数mappedStatementId，可以根据该参数使用反射，拿到执行的类和方法，以及其上的注解。
2.因为提前做了预处理（在登录环节将当前用户的数据权限查询出来放到用户对象中），使用的时候大大简化了处理逻辑。
3.该逻辑实际存在瑕疵，问题出在部门表和用户表别名公用一个属性，实际存在冲突，要完善其实也简单，拆开就好了，不麻烦。
‍
‍

总结

本文介绍了MybatisPlus的数据权限插件的机制和使用，并通过一个具体示例补全了关键环节数据权限控制逻辑的实现。
与上篇若依开发平台对比，主要区别在于技术实现方式不同。
若依开发平台是自行拼接SQL片段，MybatisPlus的数据权限插件是基于拦截器机制，在执行SQL前解析和修改SQL。
但对于数据权限的控制维度和实现思路，都是一致的，基于部门维度，控制点放在角色上，因此角色爆炸问题和权限扩大问题，也都存在。
‍

开源平台资料

平台名称：一二三开发平台
简介： 企业级通用开发平台
设计资料：csdn专栏
开源地址：Gitee
开源协议：MIT
如果您在阅读本文时获得了帮助或受到了启发，希望您能够喜欢并收藏这篇文章，为它点赞~
请在评论区与我分享您的想法和心得，一起交流学习，不断进步，遇见更加优秀的自己！

学海无涯，行者无疆
关注
专栏目录
Mybatis-Plus通过注解形式实现数据权限过滤
u011584350的博客
07-21 1万+
背景 本文借鉴若依快速开发框架的数据权限思路，通过注解形式实现数据权限过滤，优点是灵活方便。 代码 创建注解类 @Target(ElementType.METHOD) @Retention(RetentionPolicy.RUNTIME) @Documented public @interface DataScope { /** * 部门表的别名 */ public String deptAlias() default ""; /** * 部门字段名
springboot+mybatisplus数据权限插件
01-02
基于springboot、mybatisplus实现的数据权限插件
Mybatis-Plus之实现数据权限插件使用
最新发布
一个人的博客
07-26 707
Mybatis-Plus之实现数据权限插件使用
若依项目中的数据权限管理详解
tigerhhzz的博客
07-22 4296
本部门数据权限只能看到本部门的，下面部门的数据看不到，本部门及以下数据权限可以看到部门以下的数据权限；例如对于销售，财务的数据，它们是非常敏感的，因此要求对数据权限进行控制， 对于基于集团性的应用系统而言，就更多需要控制好各自公司的数据了。如设置只能看本公司、或者本部门的数据，对于特殊的领导，可能需要跨部门的数据， 因此程序不能硬编码那个领导该访问哪些数据，需要进行后台的权限和数据权限的控制。结果很明显，我们多了如下语句。在实际开发中，需要设置用户只能查看哪些部门的数据，这种情况一般称为数据权限。
MyBatis-Plus数据权限插件使用
Charge8的博客
05-22 3022
MyBatis-Plus数据权限插件使用
若依 数据权限图文详细理解及改造
喜欢吃糖丶的博客
12-02 1万+
若依的数据权限也是基于**角色**实现的，支持五种权限模式，按权限大小一次排列： - 全部数据权限，表示拥有所有部门的数据权限 · - 自定数据权限，表示拥有指定的若干部门的数据权限 - 本部门数据权限，表示仅拥有用户所属部门（不包括子部门）的数据权限 - 本部门及以下数据权限，表示仅拥有用户所属部门和所有子部门的数据权限 - 仅本人数据权限，表示仅拥有用户本人的数据权限
基于Mybatis-Plus的数据权限框架
chenahong0201的博客
12-13 2395
近期开发使用的框架基本上都是springboot + Mybatis-plus 方便，快速。而且差不多都是单表查询，很少使用关联表。经常会遇到需要做数据权限过滤的查询，每次都要写SQL，然后使用in的方式。非常麻烦。所以研究了一下Mybatis-plus的进阶使用。可以通过自定义SQL解析器，自定义SQL内容。使用该方式 + 切面 的方式，实现自动添加数据权限的过滤方式。注：我自己的工程的权限框架为shiro，可以通过修改，配置适配自己框架如果有额外的自定义SQL，则可以添加。/**
MybatisPlus实现数据权限
MichaelZ的博客
03-17 4338
MybatisPlus 是一款 Mybatis 的增强工具，它为 Mybatis 提供了丰富的查询接口，大大简化了数据库操作。MybatisPlus 具备代码生成器，支持一键生成 Entity、Mapper、Mapper XML、Service、Controller 等文件，有效提高开发效率。此外，MybatisPlus 还提供了分页插件、性能分析插件等，能够帮助开发者更好地优化数据库操作。
MyBatis-Plus 使用拦截器实现数据权限控制
yiqiu1959的博客
02-07 7597
平时开发中遇到根据当前用户的角色，只能查看数据权限范围的数据需求。列表实现方案有两种，一是在开发初期就做好判断赛选，但如果这个需求是中途加的，或不希望每个接口都加一遍，就可以方案二加拦截器的方式。在mybatis执行sql前修改语句，限定where范围。当然拦截器生效后是全局性的，如何保证只对需要的接口进行拦截和转化，就可以应用注解进行识别因此具体需要哪些步骤就明确了 基础只涉及 = 表达式，要查询集合范围 in 看进阶版用例 如果你之前项目配插件 ，直接用下面方式就行 但如果你项目之前是依赖包依赖
基于Mybatis-Plus实现数据权限
搬砖爱好者.的博客
02-11 4377
数据权限是指对系统用户进行数据资源可见性的控制。实现不同角色登录系统所展示的操作数据范围不一样，达到角色与角色、用户与用户之间数据的隔离。
auth-center:mybatis数据权限控制插件
05-14
auth-center mybatis数据权限控制插件 业务系统可以通过加装数据权限插件，在业务代码侧方便的进行数据权限的控制： 针对特定类型的数据，包括下面几种场景： 只能本人查看 只能本职位查看 本职位以及下属可以查看 只指定职位可以查看 只指定职位及其下属可以查看
《插件式GIS应用框架的设计与实现——基于C#和ArcGIS Engine9.2》源代码
07-10
《插件式GIS应用框架的设计与实现——基于C#和ArcGIS Engine9.2》是GIS领域的经典著作，由蒋波涛先生撰写。该书深入浅出地介绍了如何利用C#编程语言和Esri的ArcGIS Engine 9.2来构建可扩展、灵活的GIS应用框架。源...
数据结构源码-C语言实现
04-26
数据结构源码——C语言实现，《大话数据结构》书中的示例代码实现，配合《大话数据结构》看效果更佳。
java多级部门数据权限设计_数据权限设计（转载）
weixin_39681621的博客
02-26 5044
一、前言几乎在任何一个系统中，都离不开权限的设计，权限设计 = 功能权限 + 数据权限，而功能权限，在业界常常是基于RBAC(Role-Based Access Control)的一套方案。而数据权限，则根据不同的业务场景，则权限却不尽相同，应该根据具体的场景巧妙设计； 且必须在项目开始时进行设计，不像功能权限一样，在项目结束的时候在追加。注：更细还可以加入字段权限1.1 权限类型【功能权限】：能...
OpenCV实战（2）——OpenCV核心数据结构
热门推荐
盼小辉丶的博客
11-16 4万+
cv::Mat 类是用于保存图像(以及其他矩阵数据)的数据结构，该数据结构是所有 OpenCV 类和函数的核心，这是 OpenCV 库的一个关键元素，用于处理图像和矩阵(从计算和数学的角度来看，图像本质上是一个矩阵)，同时 cv::Mat 数据结构结合了优雅的内存管理机制，因此，使用起来十分高效。本节中，我们介绍了 cv::Mat 结构的基本用法，并且深入探索了创建 cv::Mat 数据结构时的内存分配方式。
数据标准的设计与实现：基于Python
程序员光剑
06-27 4045
层次结构数据标准是一种树形结构，它的设计原则是层次结构，所有数据元素都有一个父元素和子元素。本文介绍了如何使用Python实现数据标准，包括数据元素、元素类和数据标准的实现原理、步骤及流程等内容。数据标准是一种规范化的数据描述方法，用于描述数据元素的数据类型、格式、语义等信息。本文将介绍如何使用Python实现一个简单的数据标准，并使用数据标准对数据进行测试。在实现数据标准的同时，需要对数据进行测试，以验证数据标准的正确性和可读性。在实现数据标准时，需要考虑数据标准的可扩展性。可以使用Python内置的。
MyBatis-Plus数据权限插件
搬山境KL攻城狮的修炼手册
04-12 3567
MyBatis-Plus数据权限插件 一、实现思路和注意事项 二、源码 1.pom.xml 2.spring.factories 3.基础代码 4.DataScopeInnerInterceptor 5.DataScopeHandler 三、插件集成 四、使用示例 五、参考
MybatisPlus实现数据权限隔离
cz285933169的专栏
04-10 1394
引言 Mybatis Plus对Mybatis做了无侵入的增强，非常的好用，今天就给大家介绍它的其中一个实用功能：数据权限插件。 数据权限插件的应用场景和多租户的动态拦截拼接SQL一样。
Springboot使用mybatisplus分页插件示例代码
04-14
好的，以下是Springboot使用mybatisplus分页插件的示例代码： 1.添加依赖 在pom.xml中添加以下依赖： ``` <dependency> <groupId>com.baomidou</groupId> <artifactId>mybatis-plus-boot-starter</artifactId> <version>{version}</version> </dependency> ``` 2.配置mybatisplus 在application.properties中添加以下配置： ``` mybatis-plus.mapper-locations=classpath*:/mapper/**/*Mapper.xml mybatis-plus.type-aliases-package=com.example.model ``` 3.编写分页查询代码 定义一个接口来继承BaseMapper，并添加@Mapper注解： ``` @Mapper public interface UserMapper extends BaseMapper<User> { List<User> selectUserPage(Page<User> page, @Param("name") String name); } ``` 其中，Page是mybatisplus提供的分页类，@Param用于映射参数名。 编写Service代码： ``` @Service public class UserServiceImpl implements UserService { @Autowired private UserMapper userMapper; @Override public Page<User> selectUserPage(Page<User> page, String name) { return page.setRecords(userMapper.selectUserPage(page, name)); } } ``` 编写Controller代码： ``` @RestController @RequestMapping("/user") public class UserController { @Autowired private UserService userService; @GetMapping("/list") public Page<User> selectUserPage(Page<User> page, String name) { return userService.selectUserPage(page, name); } } ``` 通过访问/user/list接口即可实现分页查询。 以上是Springboot使用mybatisplus分页插件的示例代码，希望能对您有帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

学海无涯，行者无疆

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值