自定义拦截器实现权限校验_自定义拦截器做权限验证-CSDN博客

本文链接：https://blog.csdn.net/shenzhou_yh/article/details/108705019

背景

前几天接收到一个业务需求，简要描述一下，当某个企业账户冻结之后，企业在登陆后台管理系统，不能进行某些操作，如导入员工信息、发放员工福利、发票信息申请等，但是系统中的查看功能如账单查询、员工查询都可以正常使用。
很显然，从全局去处理账户的状态判断是不可取的，因为在账户冻结之后，并不是所有的动作都是被禁止的，这里就可以使用过滤器对指定的方法进行筛选校验

既定方案

使用自定义的注解，标注需要进行账户状态校验的请求方法，使用拦截器拦截这些接口，在拦截器中执行账户状态的判断，如果账户状态正产则放行，如果状态异常则抛出自定义的异常，并且使用自定义的异常处理类进行捕获处理。基本思路就是这样，下面我们来进行方案的实现。

方案实现

第一步：自定义注解

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface FrozenAcc {
    boolean permission() default false;
}

方法级别以及运行时状态即可。

第二步：自定义拦截器

@Slf4j
public class FrozenFilter extends HandlerInterceptorAdapter {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        //拦截自定义的注解
        HandlerMethod handlerMethod = (HandlerMethod) handler;
        FrozenAcc annotation = handlerMethod.getMethod().getAnnotation(FrozenAcc.class);
        if (annotation == null) {
            return true;
        }
        //获取如果处于冻结状态，则抛出一个异常信息
        String accStatus = UserUtil.getAccStatus();
        if ("1".equals(accStatus)) {
            return true;
        }
        throw new FrozenException(444, "您好，您的账户因逾期未还款已被冻结，无法进行当前操作，请尽快还款后申请解冻！");
    }
}

第三步：注册拦截器类，使拦截器生效

@Configuration
public class CheckConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new FrozenFilter()).addPathPatterns("/employee/enterpriseEmployee/**");
        registry.addInterceptor(new FrozenFilter()).addPathPatterns("/enterprisepoints/enterprisePointsBatch/**");
        registry.addInterceptor(new FrozenFilter()).addPathPatterns("/invoice/**");


    }
    }

可注册多个拦截器，并指定拦截规则，这里我对员工管理、企业积分管理、以及发票信息管理做了拦截

第四步：控制层中，在需要进行账户信息校验的接口上添加注解

 @FrozenAcc
    @RequiresPermissions("tb:enterpriseEmployee:add")
    @PostMapping(value = "add")
    public R add(EnterpriseEmployee enterpriseEmployee) {
        return enterpriseEmployeeService.saveEmployee(enterpriseEmployee);
    }

如上，在员工管理中，新增员工信息的方法上面添加FrozenAcc注解

第五步：自定义异常以及异常处理

自定义异常类，用于拦截器中校验账户状态时，不符合时抛出

@Data
@EqualsAndHashCode(callSuper = false)
public class FrozenException extends RuntimeException {

    private int code;
    private String message;


    public FrozenException(int code, String message) {
        this.message = message;
        this.code = code;
    }
}

异常处理类，用于捕获处理自定义的异常，封装响应参数给前端

@ExceptionHandler(FrozenException.class)
    public R handleFrozenException(FrozenException e) {
        return R.fail(e.getCode(), e.getMessage());
    }

总结

以上就可以实现对指定接口实现账户状态的校验，能够符合业务的需要，但是还是存在改进之处的。

在请求指定模块时，凡是加上注解的方法都需要去校验账户的状态，目前是采取直查数据库的方式，在日志中能发现多次查询的sql语句，一个是增加系统的IO开销，还有就是重复的查询逻辑，之前有考虑过在用户登录之后，就将企业的账户状态放到全局的会话缓存当中，但是有个弊端就是，如果用户在登陆成功之后，账户状态过期冻结，那么这个用户还是可以进行操作的，并没有达到实时的状态过滤。

可以引入缓存机制，提高性能，但是必须还得配上缓存的更新策略。可优化的方案如下：