基于角色的访问控制

RBAC(role  based  access  control)，基于角色的访问控制。

比如：

系统角色包括 ：部门经理、总经理。（角色针对用户来划分）

系统代码中实现：

//如果该user是部门经理则可以访问if中的代码

if(user.hasRole('部门经理')){

    //系统资源内容

    //用户报表查看

}

问题：

角色针对人划分的，人作为用户在系统中属于活动内容，如果该 角色可以访问的资源出现变更，需要修改你的代码了，比如：需要变更为部门经理和总经理都可以进行用户报表查看，代码改为：

if(user.hasRole('部门经理') || user.hasRole('总经理')  ){

    //系统资源内容

    //用户报表查看

}

基于角色的访问控制是不利于系统维护(可扩展性不强)。

基于资源的访问控制

RBAC(Resource  based  access  control)，基于资源的访问控制。

资源在系统中是不变的，比如资源有：类中的方法，页面中的按钮。

对资源的访问需要具有permission权限，代码可以写为：

if(user.hasPermission ('用户报表查看（权限标识符）')){

    //系统资源内容

    //用户报表查看

}

上边的方法就可以解决用户角色变更不用修改上边权限控制的代码。

如果需要变更权限只需要在分配权限模块去操作，给部门经理或总经理增或删除权限。

建议使用基于资源的访问控制实现权限管理。

粗粒度权限管理，对资源类型的权限管理。细粒度权限管理，对资源实例的权限管理。

粗粒度权限管理，对资源类型的权限管理。资源类型比如：菜单、url连接、用户添加页面、用户信息、类方法、页面中按钮。。

粗粒度权限管理比如：超级管理员可以访问户添加页面、用户信息等全部页面。

部门管理员可以访问用户信息页面包括 页面中所有按钮。

细粒度权限管理，对资源实例的权限管理。资源实例就资源类型的具体化，比如：用户id为001的修改连接，1110班的用户信息、行政部的员工。

细粒度权限管理就是数据级别的权限管理。

细粒度权限管理比如：部门经理只可以访问本部门的员工信息，用户只可以看到自己的菜单，大区经理只能查看本辖区的销售订单。。

粗粒度和细粒度例子：（spring security是类型级别）

 系统有一个用户列表查询页面，对用户列表查询分权限，如果粗颗粒管理，张三和李四都有用户列表查询的权限，张三和李四都可以访问用户列表查询。

进一步进行细颗粒管理，张三（行政部）和李四(开发部)只可以查询自己本部门的用户信息。张三只能查看行政部 的用户信息，李四只能查看开发部门的用户信息。细粒度权限管理就是数据级别的权限管理。

如何实现粗粒度权限管理？

粗粒度权限管理比较容易将权限管理的代码抽取出来在系统架构级别统一处理。比如：通过springmvc的拦截器实现授权。

如何实现细粒度权限管理？  复杂

对细粒度权限管理在数据级别是没有共性可言，针对细粒度权限管理就是系统业务逻辑的一部分，如果在业务层去处理相对比较简单，如果将细粒度权限管理统一在系统架构级别去抽取，比较困难，即使抽取的功能可能也存在扩展不强。

建议细粒度权限管理在业务层去控制。

比如：部门经理只查询本部门员工信息，在service接口提供一个部门id的参数，controller中根据当前用户的信息得到该 用户属于哪个部门，调用service时将部门id传入service，实现该用户只查询本部门的员工。

对于粗粒度权限管理，建议使用优秀权限管理框架来实现，节省开发成功，提高开发效率。

shiro就是一个优秀权限管理框架。

不用权限框架，是用基于url拦截的方式实现在实际开发中比较常用的一种方式。

对于web系统，通过filter过虑器实现url拦截，也可以springmvc框架的拦截器实现基于url的拦截。

基于url权限管理流程：有认证过滤器和授权过滤器。“个人中心”就是认证通过但是不需要授权的url。都是以url进行操作的。

系统 登陆相当 于用户身份认证，用户成功，要在session中记录用户的身份信息.

操作流程：

    用户进行登陆页面

    输入用户名和密码进行登陆

    进行用户名和密码校验：service（进行用户名和密码校验）

    如果校验通过，在session记录用户身份信息：controler里面记录session,只有controller可以访问session.

创建专门类用于记录用户身份信息。

mapper接口：　根据用户账号查询用户（sys_user）信息（不用写，使用逆向工程生成的mapper）

使用逆向工程生成以下表的基础代码：

public class SysServiceImpl implements SysService {

    @Autowired

    private SysUserMapper sysUserMapper;

    @Autowired

    private SysPermissionMapperCustom sysPermissionMapperCustom;

    @Override

    public ActiveUser authenticat(String userCode, String password)

            throws Exception {

        /**

    认证过程：

    根据用户身份（账号）查询数据库，如果查询不到用户不存在

    对输入的密码 和数据库密码 进行比对，如果一致，认证通过

         */

        //根据用户账号查询数据库

        SysUser sysUser = this.findSysUserByUserCode(userCode);

        if(sysUser == null){

            //抛出异常

            throw new CustomException("用户账号不存在");

        }

        //数据库密码 (md5密码 )

        String password_db = sysUser.getPassword();

        //对输入的密码 和数据库密码 进行比对，如果一致，认证通过

        //对页面输入的密码 进行md5加密

        String password_input_md5 = new MD5().getMD5ofStr(password);

        if(!password_input_md5.equalsIgnoreCase(password_db)){

            //抛出异常

            throw new CustomException("用户名或密码 错误");

        }

        //得到用户id

        String userid = sysUser.getId();

        //根据用户id查询菜单

        List<SysPermission> menus =this.findMenuListByUserId(userid);

        //根据用户id查询权限url

        List<SysPermission> permissions = this.findPermissionListByUserId(userid);

        //认证通过，返回用户身份信息

        ActiveUser activeUser = new ActiveUser();

        activeUser.setUserid(sysUser.getId());

        activeUser.setUsercode(userCode);

        activeUser.setUsername(sysUser.getUsername());//用户名称

        //放入权限范围的菜单和url

        activeUser.setMenus(menus);

        activeUser.setPermissions(permissions);

        return activeUser;

    }

    @Autowired

    private SysService sysService;

    //用户登陆提交方法

    /**

     * @param session

     * @param randomcode 输入的验证码

     * @param usercode 用户账号

     * @param password 用户密码

     */

    @RequestMapping("/login")

    public String login(HttpSession session, String randomcode,String usercode,String password)throws Exception{

        //校验验证码，防止恶性攻击

        //从session获取正确验证码

        String validateCode = (String) session.getAttribute("validateCode");

        //输入的验证和session中的验证进行对比

        if(!randomcode.equals(validateCode)){

            //抛出异常

            throw new CustomException("验证码输入错误");

        }

        //调用service校验用户账号和密码的正确性

        ActiveUser activeUser = sysService.authenticat(usercode, password);

        //如果service校验通过，将用户身份记录到session

        session.setAttribute("activeUser", activeUser);

        //重定向到商品查询页面

        return "redirect:/first.action";

    }

package cn.itcast.ssm.util;

import java.io.Serializable;

import java.text.MessageFormat;

import java.util.ArrayList;

import java.util.Iterator;

import java.util.List;

import java.util.Locale;

import java.util.ResourceBundle;

import java.util.Set;

/**

 * 资源文件读取工具类

 */

public class ResourcesUtil implements Serializable {

    private static final long serialVersionUID = -7657898714983901418L;

    /**

     * 系统语言环境，默认为中文zh

     */

    public static final String LANGUAGE = "zh";

    /**

     * 系统国家环境，默认为中国CN

     */

    public static final String COUNTRY = "CN";

    private static Locale getLocale() {

        Locale locale = new Locale(LANGUAGE, COUNTRY);

        return locale;

    }

    /**

     * 根据语言、国家、资源文件名和key名字获取资源文件值

     * @param language 语言

     * @param country国家

     * @param fileName资源文件名

     * @param key名字

     * @return 值

     */

    private static String getProperties(String fileName, String key) {

        String retValue = "";

        try {

            Locale locale = getLocale();

            ResourceBundle rb = ResourceBundle.getBundle(fileName, locale);

            retValue = (String) rb.getObject(key);

        } catch (Exception e) {

            e.printStackTrace();        }

        return retValue;

    }

    /**

     * 通过key从资源文件读取内容

     * @param fileName资源文件名

     * @param key索引

     * @return 索引对应的内容

     */

    public static String getValue(String fileName, String key) {

        String value = getProperties(fileName,key);

        return value;

    }

    public static List<String> gekeyList(String baseName) {

        Locale locale = getLocale();

        ResourceBundle rb = ResourceBundle.getBundle(baseName, locale);

        List<String> reslist = new ArrayList<String>();

        Set<String> keyset = rb.keySet();

        for (Iterator<String> it = keyset.iterator(); it.hasNext();) {

            String lkey = (String)it.next();

            reslist.add(lkey);

        }

        return reslist;

    }

    /**

     * 通过key从资源文件读取内容，并格式化

     * @param fileName资源文件名

     * @param key索引

     * @param objs 格式化参数

     * @return 格式化后的内容

     */

    public static String getValue(String fileName, String key, Object[] objs) {

        String pattern = getValue(fileName, key);

        String value = MessageFormat.format(pattern, objs);

        return value;

    }

    public static void main(String[] args) {

        System.out.println(getValue("resources.messages", "101",new Object[]{100,200}));

        //根据操作系统环境获取语言环境

        /*Locale locale = Locale.getDefault();

        System.out.println(locale.getCountry());//输出国家代码

        System.out.println(locale.getLanguage());//输出语言代码s

        //加载国际化资源（classpath下resources目录下的messages.properties，如果是中文环境会优先找messages_zh_CN.properties）

        ResourceBundle rb = ResourceBundle.getBundle("resources.messages", locale);

        String retValue = rb.getString("101");//101是messages.properties文件中的key

        System.out.println(retValue);

        //信息格式化，如果资源中有{}的参数则需要使用MessageFormat格式化，Object[]为传递的参数，数量根据资源文件中的{}个数决定

        String value = MessageFormat.format(retValue, new Object[]{100,200});

        System.out.println(value);*/

    }

}

编写认证拦截器

package cn.itcast.ssm.controller.interceptor;

import java.util.List;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

import javax.servlet.http.HttpSession;

import org.springframework.web.servlet.HandlerInterceptor;

import org.springframework.web.servlet.ModelAndView;

import cn.itcast.ssm.po.ActiveUser;

import cn.itcast.ssm.util.ResourcesUtil;

/**

 *

 * <p>Title: HandlerInterceptor1</p>

 * <p>Description: 用户身份认证拦截器</p>

 * <p>Company: www.itcast.com</p>

 * @author    传智.燕青

 * @date    2015-3-22下午4:11:44

 * @version 1.0

 */

public class LoginInterceptor implements HandlerInterceptor {

    //在执行handler之前来执行的

    //用于用户认证校验、用户权限校验

    @Override

    public boolean preHandle(HttpServletRequest request,

            HttpServletResponse response, Object handler) throws Exception {

        //得到请求的url

        String url = request.getRequestURI();

        //判断是否是公开 地址

        //实际开发中需要公开 地址配置在配置文件中

        //从配置中取逆名访问url

        List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");

        //遍历公开 地址，如果是公开 地址则放行

        for(String open_url:open_urls){

            if(url.indexOf(open_url)>=0){

                //如果是公开 地址则放行，否则跳转到登陆页面

                return true;

            }

        }

        //判断用户身份在session中是否存在

        HttpSession session = request.getSession();

        ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");

        //如果用户身份在session中存在放行

        if(activeUser!=null){

            return true;

        }

        //执行到这里拦截，跳转到登陆页面，用户进行身份认证

        request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request, response);

        //如果返回false表示拦截不继续执行handler，如果返回true表示放行

        return false;

    }

    //在执行handler返回modelAndView之前来执行

    //如果需要向页面提供一些公用 的数据或配置一些视图信息，使用此方法实现 从modelAndView入手

    @Override

    public void postHandle(HttpServletRequest request,

            HttpServletResponse response, Object handler,

            ModelAndView modelAndView) throws Exception {

        System.out.println("HandlerInterceptor1...postHandle");

    }

    //执行handler之后执行此方法

    //作系统 统一异常处理，进行方法执行性能监控，在preHandle中设置一个时间点，在afterCompletion设置一个时间，两个时间点的差就是执行时长

    //实现 系统 统一日志记录

    @Override

    public void afterCompletion(HttpServletRequest request,

            HttpServletResponse response, Object handler, Exception ex)

            throws Exception {

        System.out.println("HandlerInterceptor1...afterCompletion");

    }

}

配置拦截器

在springmvc.xml中配置拦截器

commonURL.properties

在此配置文件配置公用访问地址，公用访问地址只要通过用户认证，不需要对公用访问地址分配权限即可访问。比如首页和退出，只需要登陆，每个用户都一样。

用户权限相关的东西可以放在缓存或者session或者redis中。

获取用户权限范围的菜单

思路：

在用户认证时，认证通过，根据用户id从数据库获取用户权限范围的菜单，将菜单的集合存储在session中。