Shiro学习笔记——（2）前奏-基于url的权限管理

*注：此章节可跳过

基于url权限管理流程

        基于url拦截是企业中常用的权限管理方法，实现思路是：将系统操作的每个url配置在权限表中，将权限对应到角色，将角色分配给用户，用户访问系统功能通过Filter进行过虑，过虑器获取到用户访问的url，只要访问的url是用户分配角色中的url则放行继续访问。

         如下图：

一、搭建环境

（1）数据库

用户表

CREATE TABLE `sys_user` (
  `id` varchar(36) NOT NULL COMMENT '主键',
  `usercode` varchar(32) NOT NULL COMMENT '账号',
  `username` varchar(64) NOT NULL COMMENT '姓名',
  `password` varchar(32) NOT NULL COMMENT '密码',
  `salt` varchar(64) DEFAULT NULL COMMENT '盐',
  `locked` char(1) DEFAULT NULL COMMENT '账号是否锁定，1：锁定，0未锁定',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

角色表

CREATE TABLE `sys_role` (
  `id` varchar(36) NOT NULL,
  `name` varchar(128) NOT NULL,
  `available` char(1) DEFAULT NULL COMMENT '是否可用,1：可用，0不可用',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

权限表(实质上是权限和资源的结合 )

CREATE TABLE `sys_permission` (
  `id` bigint(20) NOT NULL COMMENT '主键',
  `name` varchar(128) NOT NULL COMMENT '资源名称',
  `type` varchar(32) NOT NULL COMMENT '资源类型：menu,button,',
  `url` varchar(128) DEFAULT NULL COMMENT '访问url地址',
  `percode` varchar(128) DEFAULT NULL COMMENT '权限代码字符串',
  `parentid` bigint(20) DEFAULT NULL COMMENT '父结点id',
  `parentids` varchar(128) DEFAULT NULL COMMENT '父结点id列表串',
  `sortstring` varchar(128) DEFAULT NULL COMMENT '排序号',
  `available` char(1) DEFAULT NULL COMMENT '是否可用,1：可用，0不可用',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

用户角色表

CREATE TABLE `sys_user_role` (
  `id` varchar(36) NOT NULL,
  `sys_user_id` varchar(32) NOT NULL,
  `sys_role_id` varchar(32) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

角色权限表

CREATE TABLE `sys_role_permission` (
  `id` varchar(36) NOT NULL,
  `sys_role_id` varchar(32) NOT NULL COMMENT '角色id',
  `sys_permission_id` varchar(32) NOT NULL COMMENT '权限id',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

插入样本数据

insert  into `sys_permission`(`id`,`name`,`type`,`url`,`percode`,`parentid`,`parentids`,`sortstring`,`available`) values (1,'权限','','',NULL,0,'0/','0','1'),(11,'商品管理','menu','/item/queryItem.action',NULL,1,'0/1/','1.','1'),(12,'商品新增','permission','/item/add.action','item:create',11,'0/1/11/','','1'),(13,'商品修改','permission','/item/editItem.action','item:update',11,'0/1/11/','','1'),(14,'商品删除','permission','','item:delete',11,'0/1/11/','','1'),(15,'商品查询','permission','/item/queryItem.action','item:query',11,'0/1/15/',NULL,'1'),(21,'用户管理','menu','/user/query.action','user:query',1,'0/1/','2.','1'),(22,'用户新增','permission','','user:create',21,'0/1/21/','','1'),(23,'用户修改','permission','','user:update',21,'0/1/21/','','1'),(24,'用户删除','permission','','user:delete',21,'0/1/21/','','1');
insert  into `sys_role`(`id`,`name`,`available`) values ('ebc8a441-c6f9-11e4-b137-0adc305c3f28','商品管理员','1'),('ebc9d647-c6f9-11e4-b137-0adc305c3f28','用户管理员','1');
insert  into `sys_role_permission`(`id`,`sys_role_id`,`sys_permission_id`) values ('ebc8a441-c6f9-11e4-b137-0adc305c3f21','ebc8a441-c6f9-11e4-b137-0adc305c','12'),('ebc8a441-c6f9-11e4-b137-0adc305c3f22','ebc8a441-c6f9-11e4-b137-0adc305c','11'),('ebc8a441-c6f9-11e4-b137-0adc305c3f24','ebc9d647-c6f9-11e4-b137-0adc305c','21'),('ebc8a441-c6f9-11e4-b137-0adc305c3f25','ebc8a441-c6f9-11e4-b137-0adc305c','15'),('ebc9d647-c6f9-11e4-b137-0adc305c3f23','ebc9d647-c6f9-11e4-b137-0adc305c','22'),('ebc9d647-c6f9-11e4-b137-0adc305c3f26','ebc8a441-c6f9-11e4-b137-0adc305c','13');
insert  into `sys_user`(`id`,`usercode`,`username`,`password`,`salt`,`locked`) values ('lisi','lisi','李四','bf07fd8bbc73b6f70b8319f2ebb87483','uiwueylm','0'),('zhangsan','zhangsan','张三','cb571f7bd7a6f73ab004a70322b963d5','eteokues','0');
insert  into `sys_user_role`(`id`,`sys_user_id`,`sys_role_id`) values ('ebc8a441-c6f9-11e4-b137-0adc305c3f28','zhangsan','ebc8a441-c6f9-11e4-b137-0adc305c'),('ebc9d647-c6f9-11e4-b137-0adc305c3f28','lisi','ebc9d647-c6f9-11e4-b137-0adc305c');

模型：

（2）开发环境

jdk1.7.0_72

eclipse 3.7 indigo

技术架构：springmvc+mybatis+jqueryeasyui

（3）系统工程架构

二、系统登陆

系统 登陆相当 于用户身份认证，用户成功，要在session中记录用户的身份信息.

操作流程：

         用户进行登陆页面

         输入用户名和密码进行登陆

         进行用户名和密码校验

         如果校验通过，在session记录用户身份信息

（1）用户身份信息

创建专门类用于记录用户身份信息。

/**
 * 用户身份信息，存入session 由于tomcat将session会序列化在本地硬盘上，所以使用Serializable接口
 * 
 * @author
 * 
 */
public class ActiveUser implements java.io.Serializable {
	private String userid;// 用户id
	private String usercode;// 用户账号
	private String username;// 用户名称

	public String getUsername() {
		return username;
	}

	public void setUsername(String username) {
		this.username = username;
	}

	public String getUsercode() {
		return usercode;
	}

	public void setUsercode(String usercode) {
		this.usercode = usercode;
	}

	public String getUserid() {
		return userid;
	}

	public void setUserid(String userid) {
		this.userid = userid;
	}
}

（2）mapper

mapper接口：　根据用户账号查询用户（sys_user）信息（使用逆向工程生成的mapper）

（3）service(进行用户名和密码校验)

接口功能：根据用户的身份和密码 进行认证，如果认证通过，返回用户身份信息

认证过程：

         根据用户身份（账号）查询数据库，如果查询不到用户不存在

         对输入的密码和数据库密码 进行比对，如果一致，认证通过

public interface SysService {
	
	/**
	 * 
	 * <p>Title: authenticat</p>
	 * <p>Description:用户认证 </p>
	 * @param usercode 用户账号
	 * @param password 用户密码 
	 * @return ActiveUser 用户身份信息
	 * @throws Exception
	 */
	public ActiveUser authenticat(String usercode, String password)throws Exception; 

}

实现类

public class SysServiceImpl implements SysService {

	@Autowired
	private SysUserMapper sysUserMapper;

	@Override
	public ActiveUser authenticat(String usercode, String password) throws Exception {

		// 账号和密码非空校验
		// ....

		SysUserExample sysUserExample = new SysUserExample();
		SysUserExample.Criteria criteria = sysUserExample.createCriteria();
		criteria.andUsercodeEqualTo(usercode);
		List<SysUser> userList = sysUserMapper.selectByExample(sysUserExample);
		if (userList == null || userList.size() <= 0) {
			throw new CustomException("账号不存在！");
		}
		SysUser sysUser = userList.get(0);
		// 密码
		String password_fromdb = sysUser.getPassword();

		// 输入 密码 和数据库密码 比较
		if (!password_fromdb.equalsIgnoreCase(new MD5().getMD5ofStr(password))) {
			throw new CustomException("账号或密码 错误 ！");
		}
		// 认证通过，返回用户身份
		ActiveUser activeUser = new ActiveUser();
		activeUser.setUserid(sysUser.getId());
		activeUser.setUsername(sysUser.getUsername());
		activeUser.setUsercode(sysUser.getUsercode());

		return activeUser;
	}

}

（4）controller

@Controller
public class LoginController {

	@Autowired
	private SysService sysService;

	// 用户登陆提交
	@RequestMapping("/loginsubmit")
	public String loginsubmit(HttpSession session, String usercode, String password,
			String randomcode) throws Exception {

		// 校验验证码
		// 从session获取正确的验证码
		String validateCode = (String) session.getAttribute("validateCode");
		if (!randomcode.equals(validateCode)) {
			// 抛出异常：验证码错误
			throw new CustomException("验证码 错误 ！");
		}
		// 用户身份认证
		ActiveUser activeUser = sysService.authenticat(usercode, password);

		// 记录session
		session.setAttribute("activeUser", activeUser);

		return "redirect:first.action";
	}

}

三、用户认证拦截器

（1）anonymousURL.properties

配置可以匿名访问的url

#此配置文件配置用户无需登录即可操作的地址链接
login.action=系统登录页面
loginsubmit.action=系统登录提交

（2）认证拦截器

public class LoginInterceptor implements HandlerInterceptor {

	// 在进入controller方法之前执行
	// 使用场景：比如身份认证校验拦截，用户权限拦截，如果拦截不放行，controller方法不再执行
	@Override
	public boolean preHandle(HttpServletRequest request, HttpServletResponse response,
			Object handler) throws Exception {

		// 校验用户访问是否是公开资源地址(无需认证即可访问)
		List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");

		// 用户访问的url
		String url = request.getRequestURI();
		for (String open_url : open_urls) {
			if (url.indexOf(open_url) >= 0) {
				// 如果访问的是公开 地址则放行
				return true;
			}
		}

		// 校验用户身份是否认证通过
		HttpSession session = request.getSession();
		ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");
		if (activeUser != null) {
			// 用户已经登陆认证，放行
			return true;
		}
		// 跳转到登陆页面
		request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request, response);
		return false;
	}

}

（3）在springmvc.xml中配置拦截器

<!-- 拦截器 -->
	<mvc:interceptors>
		<!-- 用户身份校验的拦截器 -->
		<mvc:interceptor>
			<mvc:mapping path="/**" />
			<bean class="cn.itcast.ssm.controller.interceptor.LoginInterceptor"></bean>
		</mvc:interceptor>
	</mvc:interceptors>

四、授权

（1）commonURL.properties

在此配置文件配置公用访问地址，公用访问地址只要通过用户认证，不需要对公用访问地址分配权限即可访问。

#此配置文件配置用户无需登录即可操作的地址链接
first.action=系统首页
logout.action=系统退出

（2）获取用户权限范围的菜单

思路：在用户认证时，认证通过，根据用户id从数据库获取用户权限范围的菜单，将菜单的集合存储在session中。

1、用户实体变化

2、mapper接口：根据用户id查询用户权限的菜单

public interface SysPermissionMapperCustom {
    
	//根据用户id获取权限菜单 
	List<SysPermission> findMenuByUserid(String userid)throws Exception;
}

	<!-- 根据用户id获取菜单列表查询 -->
	<select id="findMenuByUserid" parameterType="string" resultType="SysPermission">
		SELECT
			*
		FROM
			sys_permission
		WHERE
			TYPE = 'menu'
		AND id IN (
			SELECT
				sys_permission_id
			FROM
				sys_role_permission
			WHERE
				sys_role_id = (
					SELECT
						sys_role_id
					FROM
						sys_user_role
					WHERE
						sys_user_id = #{value}
				)
		)
	</select>

3、service接口：根据用户id查询用户权限的菜单

public interface SysService {
	
	//根据用户id获取权限 
	public List<SysPermission> findSysPermissionList(String userid) throws Exception; 
}

实现类

	@Override
	public List<SysPermission> findSysPermissionList(String userid)
			throws Exception {
		
		return sysPermissionMapperCustom.findMenuByUserid(userid);
	}

（3）获取用户权限范围的url

思路：在用户认证时，认证通过，根据用户id从数据库获取用户权限范围的url，将url的集合存储在session中。

1、用户实体变化

2、mapper接口：根据用户id查询用户权限的url

	<!-- 根据用户id获取权限 -->
	<select id="findPermissionByUserid" parameterType="string" resultType="SysPermission">
		SELECT
			*
		FROM
			sys_permission
		WHERE
			TYPE = 'permission'
		AND id IN (
			SELECT
				sys_permission_id
			FROM
				sys_role_permission
			WHERE
				sys_role_id = (
					SELECT
						sys_role_id
					FROM
						sys_user_role
					WHERE
						sys_user_id = #{value}
				)
		)
	</select>

3、service接口：根据用户id查询用户权限的url

（4）用户认证通过取出菜单和URL放入session

修改service认证代码：

（5）菜单动态显示

修改first.jsp，动态从session中取出菜单显示：

（6）授权拦截器

1、拦截器

public class PermissionInterceptor implements HandlerInterceptor {

	// 在进入controller方法之前执行
	// 使用场景：比如身份认证校验拦截，用户权限拦截，如果拦截不放行，controller方法不再执行
	// 进入action方法前要执行
	@Override
	public boolean preHandle(HttpServletRequest request, HttpServletResponse response,
			Object handler) throws Exception {
		// TODO Auto-generated method stub
		// 用户访问地址：
		String url = request.getRequestURI();

		// 校验用户访问是否是公开资源地址(无需认证即可访问)
		List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");
		// 用户访问的url
		for (String open_url : open_urls) {
			if (url.indexOf(open_url) >= 0) {
				// 如果访问的是公开 地址则放行
				return true;
			}
		}
		// 从 session获取用户公共访问地址（认证通过无需分配权限即可访问）
		List<String> common_urls = ResourcesUtil.gekeyList("commonURL");
		// 用户访问的url
		for (String common_url : common_urls) {
			if (url.indexOf(common_url) >= 0) {
				// 如果访问的是公共地址则放行
				return true;
			}
		}
		// 从session获取用户权限信息

		HttpSession session = request.getSession();

		ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");

		// 取出session中权限url
		// 获取用户操作权限
		List<SysPermission> permission_list = activeUser.getPermissions();
		// 校验用户访问地址是否在用户权限范围内
		for (SysPermission sysPermission : permission_list) {
			String permission_url = sysPermission.getUrl();
			if (url.contains(permission_url)) {
				return true;
			}
		}

		// 跳转到页面
		request.getRequestDispatcher("/refuse.jsp").forward(request, response);
		return false;
	}
}

2、配置授权拦截器

注意：将授权拦截器配置在用户认证拦截的下边。