至顶网›软件频道 ›Spring框架下实现基于组的用户权限管理

Spring框架下实现基于组的用户权限管理

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

　　在几乎所有的web应用中都需要对访问者(用户)进行权限管理, 因为我们希望某些页面只对特定的用户开放, 以及某些操作只有符合身份的用户才能进行。这之中涉及到了身份验证和权限管理. 只有单用户系统和多用户单权限系统才不需要权限管理。

作者：中国IT实验室来源：中国IT实验室 2007年9月24日

关键字：

　　一切的身份验证交给一个继承HandlerInterceptorAdapter的类来做:

import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;
import org.springframework.web.util.UrlPathHelper;
import org.springframework.util.AntPathMatcher;
import org.springframework.util.PathMatcher;
...
public class AuthorizeInterceptor extends HandlerInterceptorAdapter {
　private UrlPathHelper urlPathHelper = new UrlPathHelper();
　private PathMatcher pathMatcher = new AntPathMatcher();
　private Properties groupMappings;
　/** * Attach URL paths to group. */
　public void setGroupMappings(Properties groupMappings) {
　　this.groupMappings = groupMappings;
　}
　public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
　　String url = urlPathHelper.getLookupPathForRequest(request);
　　String group = lookupGroup(url);
　　// 找出资源所需要的权限, 即组名
　　if(group == null){
　　　// 所请求的资源不需要保护.
　　　return true;
　　}
　　// 如果已经登录, 一个User实例被保存在session中.
　　User loginUser = (User)request.getSession().getAttribute("loginUser");
　　ModelAndView mav = new ModelAndView("system/authorizeError");
　　if(loginUser == null){
　　　mav.addObject("errorMsg", "你还没有登录!");
　　　throw new ModelAndViewDefiningException(mav);
　　}else{
　　　if(!loginUser.getGroups().contains(group)){
　　　　mav.addObject("errorMsg", "授权失败! 你不在＜b＞" + group + "＜/b＞组!");
　　　　throw new ModelAndViewDefiningException(mav);
　　　} return true;
　　}
　}
　/* * 查看
　org.springframework.web.servlet.handler.AbstractUrlHandlerMapping.lookupHandler()
　* Ant模式的最长子串匹配法.
　*/
　private String lookupGroup(String url){
　　String group = groupMappings.getProperty(url);
　　if (group == null) {
　　　String bestPathMatch = null;
　　　for (Iterator it = this.groupMappings.keySet().iterator();it.hasNext();) {
　　　　String registeredPath = (String) it.next();
　　　　if (this.pathMatcher.match(registeredPath, url) && (bestPathMatch == null || bestPathMatch.length() ＜= registeredPath.length())) {
　　　　　group = this.groupMappings.getProperty(registeredPath);
　　　　　bestPathMatch = registeredPath;
　　　　}
　　　}
　　}
　　return group;
　}
}

　　下面我们需要在Spring的应用上下文配置文件中设置:

＜bean id="authorizeInterceptor" class="net.ideawu.AuthorizeInterceptor"＞
　＜property name="groupMappings"＞
　　＜value＞
　　　＜!-- Attach URL paths to group --＞
　　　　/admin/*=admin
　　＜/value＞
　＜/property＞
＜/bean＞
＜bean id="simpleUrlHandlerMapping" class="org.springframework.web.servlet.handler.SimpleUrlHandlerMapping"＞
　＜property name="interceptors"＞
　　＜list＞
　　＜ref bean="authorizeInterceptor" /＞＜/list＞
　＜/property＞
　＜property name="mappings"＞
　　＜value＞
　　　/index.do=indexController /browse.do=browseController /admin/removeArticle.do=removeArticleController
　　＜/value＞
　＜/property＞
＜/bean＞

　　注意到"/admin/*=admin", 所以/admin目录下的所有资源只有在admin组的用户才能访问, 这样就不用担心普通访客删除文章了。使用这种方法, 你不需要在removeArticleController中作身份验证和权限管理, 一切都交给AuthorizeInterceptor。

查看本文来源

VIP专区

VIP用户

普通用户

邮件订阅

如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。

重磅专题

往期文章

业界热点:

数字化转型东数西算自动驾驶智能制造云计算元宇宙虚拟人物联网算力网络数字孪生人工智能区块链开源大数据