后台接口访问后台接口_平台管理后台与商家菜单资源管理：平台管理后台的访问控制设计...

最新推荐文章于 2023-10-08 15:28:31 发布

weixin_39952031

最新推荐文章于 2023-10-08 15:28:31 发布

阅读量188

点赞数

文章标签：后台接口访问后台接口

本文链接：https://blog.csdn.net/weixin_39952031/article/details/113363775

版权

平台管理后台的访问控制设计

这里的访问控制设计使用了Spring Secutiry来实现,这些内容与第10章SSO设计中的访问控制部分的实现方法相差不多，不同之处在于这里并不需要OAuth 2，而对权限管理的设计也使用了一种更为简便的方法来实现。下面略过一些相同的地方，只针对不同点进行说明。这些设计都是在模块manage-web 中实现的。

在访问控制中使用操作员

创建一个MyUserDetails类，实现Spring Secutiry的UserDetails，从而导入Operators用户及其权限管理，代码如下所示:

public class MyUserDetails implements UserDetails {private String username;private String password;private Collection extends GrantedAuthority> authorities;private Operators operators;public MyUserDetails(String username,String password, collection extendsGrantedAuthority>authorities,Operators operators) {this.username = username;this.password = password;this.authorities =authorities;this.operators = operators;this.operators.setPassword(null);)...}

创建一个 MyUserDetailsService服务类，并在配置类SecurityConfiguration中进行引用。这样就可以让Spring Secutiry使用我们定义的用户及其权限进行安全访问控制认证了。具体的实现细节可参考前文的SSO设计。

平台管理后台的权限管理设计

这里的权限管理使用了一种较为简单的方法来实现，即通过使用配置参数实现权限管理，实现方法如下。

首先，在模块的应用配置中增加如下所示的配置项:

securityconfig:logoutsuccssurl:/permitall:-/druid/*★- /bbs**deniedpage:/denyurlroles:/**/new/** =admins;/★*/edit/**=admins, editors;/**/delete/** =admins

这些配置参数由自定义的一个配置类 SecuritySettings 实现。

其中，urlroles为权限管理的配置参数。这个配置参数通过请求的URL 设定用户的访问权限。这里只设置了两个角色(或者说用户组)的权限，它们分别是admins和editors。在 URL资源配置中，结合通配符“*”，分别使用关键字new、edit 和 delete表示新建、编辑和删除操作。

在控制器的设计中，同样需要使用这些关键字设置URL，例如下面所示的一些@RequestMapping 设计:

@RequestMapping( "/new")CRequestMapping(value="/edit/{id] ")@RequestMapping(value="/update",method = RequestMethod.POST)@RequestMapping(value=" /delete/{id} ")

其次，在安全资源管理的元数据管理CustomSecurityMetadataSource中，使用如下所示的设计:

public CustomsecurityMetadataSource (String urlroles){super();this.urlroles =urlroles;resourceMap = loadResourceMatchAuthority();private Map>loadResourceMatchAuthority({Map>map = new HashMap>(0);if (urlroles !=null && !urlroles.isEmpty()){String[] resouces = urlroles.split(";");for(String resource : resouces){String[]urls = resource.split("=");String[roles = urls[1].split(",");Collection list = newArrayList();for(String role :roles){ConfigAttribute config =new SecurityConfig (role.trim());list.add (config);//key: url,value: rolesmap.put(urls[0].trim(), list);}else{logger.error("'securityconfig.urlroles' must be set");}logger.info ( "Loaded UrlRoles Resources. ");return map;}

这个设计表示，当系统启动时，导入上面权限配置的数据作为安全管理的元数据，给后面的权限检查提供依据。

最后，在权限检查CustomAccessDecisionManager的设计中，使用如下所示的设计:

public class CustomAccessDecisionManager implements AccessDecisionManager{protected Log log = LogFactory.getLog (getClass());@overridepublic void decide (Authentication authentication, 0bject object,CollectionconfigAttributes)throws AccessDeniedException,InsufficientAuthenticationException tif(configAttributes == null) {return;}//config urlrolesIteratoriterator = configAttributes.iterator();while (iterator.hasNext()){ConfigAttribute configAttribute = iterator.next();//need roleString needRole = configAttribute.getAttribute();//user rolesfor (GrantedAuthority ga : authentication.getAuthorities())Iif (needRole.equals(ga.getAuthority())) {return;}}log.info("need role is " + needRole);}throw new AccessDeniedException ( "Cannot Access!");}}

当用户访问的资源中包含安全管理的元数据时，就检查用户的角色列表中是否有与之匹配的角色，以此达到权限验证的目的。

这种简化的设计要求我们在创建角色时，其名字必须与配置中的名字相匹配，即使用前面配置中的admins和 editors。

如果想要通过数据管理的方式控制权限，实现更加丰富的权限管理功能，则可以参照10.4节中的内容。

在完成上面所有设计后，就可以开始进行测试了。

直接启动manage-web应用，启动成功之后，在浏览中输入如下所示的链接登录系统: