JavaEE权限管理系统的搭建(六)--------使用拦截器实现菜单URL的跳转权限验证和页面的三级菜单权限按钮显示
本小结讲解，点击菜单进行页面跳转，看下图，点击管理员列表后会被认证拦截器首先拦截，验证用户是否登录，如果登录就放行，紧接着会被权限验证拦截器再次拦截，拦截的时候，会根据URL地址上找到对应的方法，然后查询方法上标注的自定义权限注解，紧接着根据当前登录用户查询出所有权限列表，然后进行验证，如果包含对应注解中的权限代码，就放行，否则提示或者跳转到404.
/** * 进入管理用户列表页面 * @return */ @AccessPermissionsInfo("admin:list") @RequestMapping(value = "/admin-user-list.action",method = RequestMethod.GET) public String adminUserListPage(HttpSession session,Model model){ //获取session用户是否存在 AdminUser adminUser = (AdminUser)session.getAttribute("adminUser"); if(adminUser!=null){ //根据用户名查询出该用户所有拥有的权限集合， //这个权限集合查询出来了的集合是一个String集合，查询出来只有一列数据permission.code List<String> permissions = permissionService.findAllPermissionByLoginName(adminUser.getLoginName()); model.addAttribute("permissions",permissions); } return "admin-user-list"; }
拦截器的拦截过程如下图：
AuthorizationInterceptor类：
package com.supin51.interceptor; import com.supin51.domain.AdminUser; import com.supin51.service.PermissionService; import com.supin51.utils.AccessPermissionsInfo; import org.apache.commons.logging.Log; import org.apache.commons.logging.LogFactory; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.web.method.HandlerMethod; import org.springframework.web.servlet.HandlerInterceptor; import org.springframework.web.servlet.ModelAndView; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.util.List; /** * @Author:ShaoJiang * @description: 权限认证拦截器 * @Date: created in 下午1:43 2019/1/21 * @Modified By: */ public class AuthorizationInterceptor implements HandlerInterceptor { private static final Log logger = LogFactory.getLog(AuthorizationInterceptor.class); @Autowired private PermissionService permissionService; /* * return true 才会继续执行下列两个方法（请求继续），否则整个请求结束 * 该方法主要进行拦截处理，该方法在Controller处理之前调用， * */ @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { //获取请求的路径进行判断 String servletUrl = request.getServletPath(); logger.info("权限认证拦截器:preHandle-------->"+servletUrl); //是否授权，默认为未授权 boolean isAuthorize = false; //如果方法上有权限注释 if(handler.getClass().isAssignableFrom(HandlerMethod.class)) { AccessPermissionsInfo permissionsInfo = ((HandlerMethod)handler).getMethodAnnotation(AccessPermissionsInfo.class); if (permissionsInfo==null||permissionsInfo.value()=="") { isAuthorize = true; logger.info("权限认证拦截器:preHandle-------->不需要权限，可以访问"); }else { String permission = permissionsInfo.value().toString(); logger.info("权限认证拦截器:preHandle-------->需要权限:"+permission+"才可以访问"); //获取session中的用户信息 AdminUser adminUser = (AdminUser)request.getSession().getAttribute("adminUser"); //如果用户已登录，放行，否则拦截 if(adminUser!=null){ //根据用户名查询出该用户所有拥有的权限集合 List<String> permissions = permissionService.findAllPermissionByLoginName(adminUser.getLoginName()); //判断权限集合中的URL字段是否包含请求的路径，如果包含就放行，否则引导至提示（权限不足，请联系管理员）页面 for(String s:permissions) { if(permission.contains(s)){ isAuthorize = true; logger.info("权限认证拦截器:preHandle-------->当前登录用户："+adminUser.getLoginName()+"有"+permission+"访问权限，验证通过"); break; } } } } } if(!isAuthorize){ logger.info("权限认证拦截器:preHandle-------->权限不足或者无法访问该资源"); //转发至404页面 request.getRequestDispatcher("/404").forward(request,response); } return isAuthorize; } @Override public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception { logger.info("权限认证拦截器：postHandle-------->"); } @Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception { logger.info("权限认证拦截器：afterCompletion-------->"); } }
自定义注解类
package com.supin51.utils; import java.lang.annotation.*; /** * @Author:ShaoJiang * @description:自定义权限注解，用于注解在controller方法上，在拦截器中拦截用户是否有权限访问 * @Date: created in 下午8:44 2019/1/22 * @Modified By: */ @Inherited @Target(ElementType.METHOD)//用于方法上的注解 @Retention(RetentionPolicy.RUNTIME) public @interface AccessPermissionsInfo { /** * 权限名称值 * @return 权限名称 */ String value() default ""; }
持久层PermissionMapper.xml
<!--这个方法获取的权限返回列只有一个code字段，主要用在了拦截器和页面上的按钮权限控制显示-->
<!--对应PermissionDao接口中的findAllPermissionByLoginName方法-->
<select id="findAllPermissionByLoginName" parameterType="string" resultType="string" >
SELECT tp.code
FROM t_admin ta
LEFT JOIN t_admin_role tar
ON tar.adminId = ta.id
LEFT JOIN t_role tr
ON tar.roleId = tr.id
LEFT JOIN t_role_permission trp
ON trp.roleId = tr.id
LEFT JOIN t_permission tp
ON tp.id = trp.permissionId
WHERE ta.loginName = #{loginName}
AND tp.url IS NOT NULL
</select>
页面成功跳转显示以后，在页面通过了EL表达式和jstl标签控制三级菜单权限按钮的显示，如下图：
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ taglib prefix="fn" uri="http://java.sun.com/jsp/jstl/functions" %>
<c:set var="permiss" value="${permissions}"/> <c:if test="${fn:contains(permiss,'admin:add')}" > <a href="javascript:;" onclick="admin_add('添加管理员','/admin/admin-user-add.action',null,'800px','500px')" class="btn btn-primary radius"> <i class="Hui-iconfont Hui-iconfont-user-add"></i> 添加</a> </c:if> <c:if test="${fn:contains(permiss,'admin:edit')}" > <a href="javascript:;" onclick="admin_edit('编辑管理员','/admin/admin-user-edit.action',null,'800px','500px')" class="btn btn-primary radius"> <i class="Hui-iconfont Hui-iconfont-edit"></i> 编辑</a> </c:if> <c:if test="${fn:contains(permiss,'admin:delete')}" > <a href="javascript:;" onclick="deleteAll()" class="btn btn-danger radius"> <i class="Hui-iconfont Hui-iconfont-del"></i> 删除</a> </c:if> <c:if test="${fn:contains(permiss,'admin:enable')}" > <a href="javascript:;" onclick="admin_start()" class="btn btn-success radius"> <i class="Hui-iconfont Hui-iconfont-jiesuo"></i> 解锁</a> </c:if> <c:if test="${fn:contains(permiss,'admin:disable')}" > <a href="javascript:;" onclick="admin_stop()" class="btn btn-danger radius"> <i class="Hui-iconfont Hui-iconfont-suoding "></i> 冻结</a> </c:if> <c:if test="${fn:contains(permiss,'admin:pwdReset')}" > <a href="javascript:;" onclick="admin_user_password_reset()" class="btn btn-danger radius"> <i class="Hui-iconfont Hui-iconfont-zhongzuo"></i> 重置密码</a> </c:if>
使用tom账户测试权限拦截，可以看到tom的角色在未分组里，而未分组里面什么权限也没有，当tom登录后，也看不到任何的菜单，如果强行通过网址URL进行方法，认证拦截器首先会进行验证是否登录，如果登录就放行到下一个拦截器，权限拦截器开始验证用户tom是否具有这个访问url的方法的访问权限，如果有就放行，如果没有就拦截。如下图所示：
到本小节结束，登录认证和权限验证已经全部完成。下一小节将讲解添加用户（添加用户的同时也要给用户分配角色，然后插入的到用户和角色的中间表）和添加角色（添加角色的同时也要给角色分配权限，然后插入到角色和权限的中间表）。
