【MarketAnalysis总结】5.0用户权限控制

在本项目中有一个需求是对用户进行权限控制，包括下载、查询的权限，所用到的权限表和E-R图关系在上一篇文章【MarketAnalysis总结】4.0用户登录等账户安全访问的实现中已经说明了，这里论述一下这个权限控制如何实现的以及它们的安全控制。

1)   下载、查询权限的实现

实现流程图如图5.1，

图5.1 权限实现流程图

该流程主要是检查用户有没有要访问的资源，以及省份用户是不是访问自己的默认省份；若是否定，则会拒绝放行，给前端返回错误状态码；若是肯定，则会放行，让其进入controller，获取相应的服务。

2)   安全控制

该项目可能会存在着用户通过输入url输入特定的参数来获取已向用户隐藏的、无权限的、非法服务的问题，但是在这个机制下，会很好地规避这个问题。因为当你访问需要权限的url时，无论你是以哪种形式发过来的url，都会去匹配该用户是否含有该url的资源，若是没有则会拒绝服务。显而易见，这也是这个机制带来的好处，即用户以何种方式来访问资源对后端是透明的，无需考虑。