SSM开发 - 配合自定义注解和 SpringMVC拦截器，实现方法级粒度用户鉴权

提要

本文是小小商城-SSM 版的细节详解系列之一，项目 github：https://github.com/xenv/S-mall-ssm 本文代码大部分在 github 中可以找到。

这篇文章其实和 SSH 开发 | 配合自定义注解和 Stratus 拦截器，实现方法级粒度用户鉴权大致一样，只是具体实现有一点区别。

有用户系统，就必须有配套的鉴权系统来确保页面不被非法访问。市面上的鉴权系统，最为成熟的就是 shiro，但是体量太重，使用也不太方便，对代码的侵入型也比较强，所以我简单使用自定义注解和 SpringMVC 拦截器就实现了一个简单的鉴权系统，虽然不及 shiiro 稳定和功能强大，但是也足够使用，并且配置非常简单。

具体实现

原理其实非常简单，我们先在 controller 类和方法上配置好权限的自定义注解，然后配置一个拦截器读取这些注解，在和 session 里面的 user 比对权限，判断是否放行即可。

在配置自定义注解时，我选择了类和方法同时配置，方法如果不配置则使用类的权限配置。

1. 在 User 实体类中，用 enum 定义用户组

1
2
3

public enum Group{
    unLogin,user,admin,superAdmin;
}

2. 定义一个自定义注解

@Retention(RetentionPolicy.RUNTIME) // 运行时可以被获取
@Target({METHOD,TYPE}) //加载类上或者方法上面
@Inherited //可以子类继承
public @interface Auth {
    User.Group value(); //User.Group是一个enum类型，在User实体类中定义
}

3. 在 Controller 类中加入这个自定义注解

比如前台的 Controller 中，可以在这个 controller 类上面加一个 @Auth(User.Group.unLogin) ，这样该 action 类下面的所有方法 unLogin 用户都可以访问。对于不想要 unLogin 用户访问的方法，可以在那个方法上面加上 @Auth(User.Group.user) ，就会覆盖掉类的权限配置。

4.配置一个拦截器实现鉴权动作 AuthInterceptor.java

public class AuthInterceptor extends HandlerInterceptorAdapter {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object o) throws Exception {
        if (!(o instanceof HandlerMethod)) {
            return true;
        }
        HandlerMethod handler = (HandlerMethod) o;
        //获取访问页面的权限

        //获取方法上的注解
        Auth authInMethod = ((HandlerMethod) handler).getMethodAnnotation(Auth.class);

        //获取类上的注解
        Auth authInClass = ((HandlerMethod) handler).getBean().getClass().getAnnotation(Auth.class);
        //获取Enum方法的ordinal，根据大小来确定该页面权限
        int pageRate = authInClass == null ? 0 : authInClass.value().ordinal();
        pageRate = authInMethod == null ? pageRate : authInMethod.value().ordinal();

        //获取用户的权限
        int userRate = 0;
        User user = (User) request.getSession().getAttribute("user");
        if (user != null) {
            userRate = user.getGroup().ordinal();
        }

        //根据权限决定是否放行
        if (pageRate > userRate) {
            if (userRate == 0) {
                response.sendRedirect("/login?refer=/");
                return false;
            }
            throw new AuthException("您已登录，但是没有权限访问这里");
        }
        return true;
    }
}

对于没有权限的用户，可以跳转到登陆页面或者抛出错误即可

5.使拦截器生效，在 SpringMVC.xml 中配置

<mvc:interceptors>
    ....
    <bean class="tmall.interceptor.AuthInterceptor"/>
    ....
</mvc:interceptors>

OK，大功告成。