若依框架基于@PreAuthorize注解的权限控制

目录

一、Java注解（Annotation）

1. 概述        

2. Annotation通用定义

（1）@interface

（2）@Documented

（3）@Target(ElementType.TYPE)

（4）@Retention(RetentionPolicy.RUNTIME)

二、基于注解的权限控制

1. 数据权限

 2. 角色权限

---

一、Java注解（Annotation）

1. 概述        

        Java 注解（Annotation）又称 Java 标注，是 JDK5.0 引入的一种注释机制。

        Java 定义了一套注解，共有 7 个，3 个在 java.lang 中，剩下 4 个在 java.lang.annotation 中。

作用在代码的注解是：

• @Override - 检查该方法是否是重写方法。如果发现其父类，或者是引用的接口中并没有该方法时，会报编译错误。
• @Deprecated - 标记过时方法。如果使用该方法，会报编译警告。
• @SuppressWarnings - 指示编译器去忽略注解中声明的警告。

作用在其他注解的注解(或者说 元注解)是:

• @Retention - 标识这个注解怎么保存，是只在代码中，还是编入class文件中，或者是在运行时可以通过反射访问。
• @Documented - 标记这些注解是否包含在用户文档中。
• @Target - 标记这个注解应该是哪种 Java 成员。
• @Inherited - 标记这个注解是继承于哪个注解类(默认 注解并没有继承于任何子类)

2. Annotation通用定义

@Documented
@Target(ElementType.TYPE)
@Retention(RetentionPolicy.RUNTIME)
public @interface MyAnnotation1 {
}

（1）@interface

        使用 @interface 定义注解时，意味着它实现了 java.lang.annotation.Annotation 接口，即该注解就是一个Annotation。定义 Annotation 时，@interface 是必须的。

（2）@Documented

        类和方法的 Annotation 在缺省情况下是不出现在 javadoc 中的。如果使用 @Documented 修饰该 Annotation，则表示它可以出现在 javadoc 中。

        定义 Annotation 时，@Documented 可有可无；若没有定义，则 Annotation 不会出现在 javadoc 中。

（3）@Target(ElementType.TYPE)

        ElementType 是 Annotation 的类型属性。而 @Target 的作用，就是来指定 Annotation 的类型属性。

ElementType.METHOD：该注解只能声明在一个类的方法前。

ElementType.TYPE：该注解只能声明在一个类前。

（4）@Retention(RetentionPolicy.RUNTIME)

        @Retention(RetentionPolicy.RUNTIME) 的意思就是指定该 Annotation 的策略是 RetentionPolicy.RUNTIME。这就意味着，编译器会将该 Annotation 信息保留在 .class 文件中，并且能被虚拟机读取。

总结：

       @interface 用来声明 Annotation，@Documented 用来表示该 Annotation 是否会出现在 javadoc 中， @Target 用来指定 Annotation 的类型，@Retention 用来指定 Annotation 的策略。

Java中常用的Annotation：

@Deprecated  -- @Deprecated 所标注内容，不再被建议使用。
@Override    -- @Override 只能标注方法，表示该方法覆盖父类中的方法。
@Documented  -- @Documented 所标注内容，可以出现在javadoc中。
@Inherited   -- @Inherited只能被用来标注“Annotation类型”，它所标注的Annotation具有继承性。
@Retention   -- @Retention只能被用来标注“Annotation类型”，而且它被用来指定Annotation的RetentionPolicy属性。
@Target      -- @Target只能被用来标注“Annotation类型”，而且它被用来指定Annotation的ElementType属性。
@SuppressWarnings -- @SuppressWarnings 所标注内容产生的警告，编译器会对这些警告保持静默。

二、基于@PreAuthorize注解的权限控制

        若依框架使用 Spring Security来进行鉴权， Spring Security提供了Spring EL表达式，允许我们在定义接口访问的方法上面添加注解，来控制访问权限。

@PreAuthorize注解用于配置接口，要求用户拥有某些权限才可访问，它拥有如下方法

方法	参数	描述
hasPermi	String	验证用户是否具备某权限
lacksPermi	String	验证用户是否不具备某权限，与 hasPermi逻辑相反
hasAnyPermi	String	验证用户是否具有以下任意一个权限
hasRole	String	判断用户是否拥有某个角色
lacksRole	String	验证用户是否不具备某角色，与 isRole逻辑相反
hasAnyRoles	String	验证用户是否具有以下任意一个角色，多个逗号分隔

1. 数据权限

整体逻辑：每个用户分配角色之后，都会有一定的权限，在用户访问某个接口时，会判断用户所拥有的权限是否包含该接口需要的权限，然后将判断的结果（"true"或者"fales"）传入@PreAuthorize注解实现数据权限的控制。当Spring EL 表达式返回TRUE，则权限校验通过；

示例： 

例如在判断用户是否具有新增用户权限时，加上了下面这个注解：

 

 （1）@PreAuthorize 注解：

@PreAuthorize注解括号里面接收的是String类型的参数，且值为 "true"  或者 "false" 

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Inherited
@Documented
public @interface PreAuthorize {
    String value();
}

（2）ss.hasPermi() 方法：

 ss：ss是PermissionService类实例化后起的的对象名

hasPermi() 方法接收一个 String类型的参数，值为'system:user:add'，返回值为布尔类型，首先进行校验，判断参数是否为空，然后拿到当前登录系统的用户，判断当前用户是否为空以及用户拥有的权限是否为空（调用 loginUser.getPermissions() 方法，返回一个Set集合的权限列表），最后调用 hasPermissions(loginUser.getPermissions(), permission) 方法判断用户是否有该权限，如果包含就返回 true。

 

 存储权限信息表：

 

 2. 角色权限

角色权限时根据用户所属的角色来进行权限控制，实际原理和数据权限一样。

// 属于user角色
@PreAuthorize("@ss.hasRole('user')")

// 不属于user角色
@PreAuthorize("@ss.lacksRole('user')")

// 属于user或者admin之一
@PreAuthorize("@ss.hasAnyRoles('user,admin')")