浅谈用Filter实现系统权限管理

      权限管理一直是一个系统的核心问题，也是难点之一。权限制控制的方式以及粒度是系统设计时，必须要考虑的问题。在我的经历中，我们一般采取以下方式。

      建立一系列的权限集合，也就是一系列的角色集合，视项目具体情况而定。然后将这些角色赋给各个用户即可。可能有人说“废话，我也知道。”，是的，这不是什么新东西，只是分享和共同学习。其实是这样的，每个权限对应一堆URL，这样你就可以实现精确的权限控制了。

      比如说系统有“订单签收”的这么一个功能，他对应的URL是/order/orderConfirm.do，你可能需要A类用户使用，你可能这么想，那我可屏蔽这个入口，让用户看不到这个入口不就行啦，他不就不可进行“订单签收”的操作了。可以你别忘了，黑客是可以绕开这一些的，他若知道了这个操作的URL，他不就可以直接访问你的后台啦。所以表面的屏蔽固然重要，但不可靠，特别是对安全性要求高的系统，简直就是在玩高空走钢丝。这个时候，该filter出场了，你给你的应用配一个filter，并且将他的拦截顺序放在第一位。每当有客户端请款，不管这个请求是来自哪里，是通过什么方式过来的，我不管这个请求的URL的本身。你可以获取到这个请求的URL，然后判断当前登录用户是什么权限，比如说是A权限，然后你去A权限的权限集合中找，是否有这个URL，若存在，则说明当前登录用户拥有访问这个请求的权限，放行啦。

      我是不是讲的很笼统啊，是啊，我只是讲方法吗，具体实现方法很多啊。大家看着办吧。

      谢谢阅读！