用過了Spring Security,一般都不會採用這種簡單的自定義方式.自定義當然靈活自由,越要完善,也就意味做的工作越多.使用框架,別人考慮得相對周到,比如spring security的防止攻擊就有session fixation, clickjacking, cross site request forgery.以下的簡單實現的許可權控制雖然可以去實現這樣的功能,但就沒必要了.當然這個模型是包含認證和授權.

1.寫一個自定義註解(功能類似於spring security的@PreAuthorize)

package org.exam.auth;
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
public @interface Auth {
	String value() default "";
	String name() default "";
}
 

2.寫一個攔截器.

package org.exam.auth;
import org.springframework.http.HttpStatus;
import org.springframework.web.method.HandlerMethod;
import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.PrintWriter;
import java.util.Set;
public class AuthInterceptor extends HandlerInterceptorAdapter {
	public static final String SESSION_USERID = "kUSERID";
	public static final String SESSION_AUTHS = "kAUTHS";
	@Override
	public boolean preHandle(HttpServletRequest request,
			HttpServletResponse response, Object handler) throws Exception {
		boolean flag = true;
		if (handler instanceof HandlerMethod) {
			Auth auth = ((HandlerMethod) handler).getMethod().getAnnotation(Auth.class);
			if (auth != null) {// 有許可權控制的就要檢查
				if (request.getSession().getAttribute(SESSION_USERID) == null) {// 沒登入就要求登入
					response.setStatus(HttpStatus.FORBIDDEN.value());
					response.setContentType("text/html; charset=UTF-8");
					PrintWriter out=response.getWriter();
					out.write("{\"type\":\"nosignin\",\"msg\":\"請您先登入!\"}");
					out.flush();
					out.close();
					flag = false;
				} else {// 登入了檢查,方法上只是@Auth,表示只要求登入就能通過
 
[email protected]("authority")這型別,驗證使用者許可權
					if (!"".equals(auth.value())) {
						Set<String> auths = (Set<String>) request.getSession().getAttribute(SESSION_AUTHS);
						if (!auths.contains(auth.value())) {// 提示使用者沒許可權
							response.setStatus(HttpStatus.FORBIDDEN.value());
							response.setContentType("text/html; charset=UTF-8");
							PrintWriter out=response.getWriter();
							out.write("{\"type\":\"noauth\",\"msg\":\"您沒有"+auth.name()+"許可權!\"}");
							out.flush();
							out.close();
							flag = false;
						}
					}
				}
			}
		}
		return flag;
	}
}
 

處理controller的@RequestMapping方法(這裡的處理直接通過response處理,spring security先拋異常,然後再統一處理異常):
a.如果這個方法沒有使用Auth註解,會認為沒有作許可權控制,任何人可以訪問.
b.如果這個方法只標註了@Auth,如果使用者沒登入,會返回一個403,並提示使用者登入.
c.如果這個方法標註了具體需要某種許可權,如@Auth("authority"),就要求使用者必須有這種許可權,否則返回403,並提示使用者沒有許可權,這裡相當於實現授權,並且授權之前先認證.


3.讓攔截器起作用.重寫org.springframework.web.servlet.config.annotation.WebMvcConfigurerAdapter#addInterceptors方法

@Configuration
@ComponentScan(basePackages={"org.exam.web"})
@EnableWebMvc
public class MvcConfig extends WebMvcConfigurerAdapter{
	@Override
	public void addInterceptors(InterceptorRegistry registry) {
		registry.addInterceptor(new AuthInterceptor());
	}
	//其它略...
}

4.使用者登入(只做了一個模擬登入)和具體使用,剩下的就可以測試了.

@Controller
@RequestMapping("/user")
public class UserController {
	@RequestMapping("/login")
	@ResponseBody
	public boolean login(HttpSession session,User user){
		boolean result=false;
		//模擬從資料庫查出存在這樣的使用者
		Long userId=user.getId();
		if(userId!=null&&userId>0){
			session.setAttribute(AuthInterceptor.SESSION_USERID, userId);
			session.setAttribute(AuthInterceptor.SESSION_AUTHS, new HashSet<String>(Arrays.asList("user_list", "user_query", "user_save")));
			result=true;
		}
		return result;
	}
	@Auth("user_queryXXXX")
	@RequestMapping("/query")
	@ResponseBody
	public String query(){
		System.out.println("query");
		return getClass().toString();
	}
	@Auth("user_list")
	@RequestMapping("/list")
	@ResponseBody
	public String list(){
		System.out.println("list");
		return getClass().toString();
	}
	@Auth("user_save")
	@RequestMapping("/add")
	public String add(User user){
		System.out.println("add:"+user);
		return "user/add";
	}
}