梳理一下若依框架的权限过滤系统

梳理一下若依框架的权限过滤系统

首先，我们直入主题，且看这段代码

/**
 * 获取用户列表
 */
@PreAuthorize("@ss.hasPermi('system:user:list')")
@GetMapping("/list")
public TableDataInfo list(SysUser user)
{
    startPage();
    List<SysUser> list = userService.selectUserList(user);
    return getDataTable(list);
}

可以看到哈

@PreAuthorize("@ss.hasPermi('system:user:list')")

对的，就是这一行啦，这一行很重要！这是主要的权限过滤入口

我们暂且先不去直接分析怎么实现的，我们猜一下，这个会是怎么实现的：

这段代码看起来是使用了Spring Security中的@PreAuthorize注解，该注解通常用于方法级别的访问控制。具体来说，这段代码表明了一个方法或者类中的某个方法需要用户在执行之前满足特定的权限。

分解一下这段代码：

• @PreAuthorize注解表示在方法执行之前进行权限验证。
• "@ss.hasPermi('system:user:list')"是权限表达式，它指定了所需的权限。这里的权限表达式看起来是Spring Security中自定义的，可能涉及到系统用户列表的权限。

猜测的作用是，只有具有'system:user:list'权限的用户才能执行标记有该注解的方法。这可能是用于限制对系统用户列表相关操作的访问权限，确保只有授权的用户能够执行这些操作。

请注意，有一次提到了了一个名词Spring Security，先生大名相比耳熟能详，我们就再说一下先生吧

springdoc.cn/spring-secu... 中文文档

Spring Security是一个Java框架，用于保护应用程序的安全性。它提供了一套全面的安全解决方案，包括身份验证、授权、防止攻击等功能。Spring Security基于过滤器链的概念，可以轻松地集成到任何基于Spring的应用程序中。它支持多种身份验证选项和授权策略，开发人员可以根据需要选择适合的方式。此外，Spring Security还提供了一些附加功能，如集成第三方身份验证提供商和单点登录，以及会话管理和密码编码等。总之，Spring Security是一个强大且易于使用的框架，可以帮助开发人员提高应用程序的安全性和可靠性。【官网介绍】

目前我们可能接触的有两种安全框架，一种就是大而丰富的Spring Security，一种就是小而精巧的shiro

这里不多废话，我们主要是研究若依怎么实现的权限过滤，我们就接着聊

首先，现在我们可以确定一件事，若依使用的Spring Security框架！

紧接着，我们再看看若依自己封装的hasPermi

package com.ruoyi.framework.web.service;

import java.util.Set;
import org.springframework.stereotype.Service;
import org.springframework.util.CollectionUtils;
import com.ruoyi.common.constant.Constants;
import com.ruoyi.common.core.domain.entity.SysRole;
import com.ruoyi.common.core.domain.model.LoginUser;
import com.ruoyi.common.utils.SecurityUtils;
import com.ruoyi.common.utils.StringUtils;
import com.ruoyi.framework.security.context.PermissionContextHolder;

/**
 * RuoYi首创 自定义权限实现，ss取自SpringSecurity首字母
 * 
 * @author ruoyi
 */
@Service("ss")
public class PermissionService
{
    /**
     * 验证用户是否具备某权限
     * 
     * @param permission 权限字符串
     * @return 用户是否具备某权限
     */
    public boolean
    hasPermi(String permission)
    {
        if (StringUtils.isEmpty(permission))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions()))
        {
            return false;
        }
        PermissionContextHolder.setContext(permission);
        return hasPermissions(loginUser.getPermissions(), permission);
    }

    /**
     * 验证用户是否不具备某权限，与 hasPermi逻辑相反
     *
     * @param permission 权限字符串
     * @return 用户是否不具备某权限
     */
    public boolean lacksPermi(String permission)
    {
        return hasPermi(permission) != true;
    }

    /**
     * 验证用户是否具有以下任意一个权限
     *
     * @param permissions 以 PERMISSION_DELIMETER 为分隔符的权限列表
     * @return 用户是否具有以下任意一个权限
     */
    public boolean hasAnyPermi(String permissions)
    {
        if (StringUtils.isEmpty(permissions))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions()))
        {
            return false;
        }
        PermissionContextHolder.setContext(permissions);
        Set<String> authorities = loginUser.getPermissions();
        for (String permission : permissions.split(Constants.PERMISSION_DELIMETER))
        {
            if (permission != null && hasPermissions(authorities, permission))
            {
                return true;
            }
        }
        return false;
    }

    /**
     * 判断用户是否拥有某个角色
     * 
     * @param role 角色字符串
     * @return 用户是否具备某角色
     */
    public boolean hasRole(String role)
    {
        if (StringUtils.isEmpty(role))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles()))
        {
            return false;
        }
        for (SysRole sysRole : loginUser.getUser().getRoles())
        {
            String roleKey = sysRole.getRoleKey();
            if (Constants.SUPER_ADMIN.equals(roleKey) || roleKey.equals(StringUtils.trim(role)))
            {
                return true;
            }
        }
        return false;
    }

    /**
     * 验证用户是否不具备某角色，与 isRole逻辑相反。
     *
     * @param role 角色名称
     * @return 用户是否不具备某角色
     */
    public boolean lacksRole(String role)
    {
        return hasRole(role) != true;
    }

    /**
     * 验证用户是否具有以下任意一个角色
     *
     * @param roles 以 ROLE_NAMES_DELIMETER 为分隔符的角色列表
     * @return 用户是否具有以下任意一个角色
     */
    public boolean hasAnyRoles(String roles)
    {
        if (StringUtils.isEmpty(roles))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles()))
        {
            return false;
        }
        for (String role : roles.split(Constants.ROLE_DELIMETER))
        {
            if (hasRole(role))
            {
                return true;
            }
        }
        return false;
    }

    /**
     * 判断是否包含权限
     * 
     * @param permissions 权限列表
     * @param permission 权限字符串
     * @return 用户是否具备某权限
     */
    private boolean hasPermissions(Set<String> permissions, String permission)
    {
        return permissions.contains(Constants.ALL_PERMISSION) || permissions.contains(StringUtils.trim(permission));
    }
}

这是一个自定义权限服务类，用于在应用中进行权限控制。以下是对代码的解释和分析：

1. hasPermi 方法：

   • 该方法用于验证用户是否具备某个权限。
   • 获取当前登录用户信息通过 SecurityUtils.getLoginUser()，并检查用户是否为空以及是否有权限信息。
   • 将权限字符串设置到 PermissionContextHolder 中，可能用于在其他地方获取当前权限信息。
   • 最终调用 hasPermissions 方法判断用户是否具有指定的权限。

2. lacksPermi 方法：

   • 该方法是 hasPermi 方法的逻辑相反，用于验证用户是否不具备某个权限。

3. hasAnyPermi 方法：

   • 该方法用于验证用户是否具备多个权限中的任意一个。
   • 通过分隔符 Constants.PERMISSION_DELIMETER 将多个权限字符串分隔成数组，并逐一判断用户是否具备这些权限。

4. hasRole 方法：

   • 该方法用于验证用户是否具备某个角色。
   • 获取当前登录用户信息，检查用户是否为空以及是否具有角色信息。
   • 遍历用户的角色列表，判断是否具有指定的角色。

5. lacksRole 方法：

   • 该方法是 hasRole 方法的逻辑相反，用于验证用户是否不具备某个角色。

6. hasAnyRoles 方法：

   • 该方法用于验证用户是否具备多个角色中的任意一个。
   • 通过分隔符 Constants.ROLE_DELIMETER 将多个角色字符串分隔成数组，并逐一判断用户是否具备这些角色。

7. hasPermissions 方法：

   • 该方法用于判断用户是否具备某个权限。
   • 如果用户具备 Constants.ALL_PERMISSION 权限，或者用户的权限列表中包含指定的权限，则返回 true。

这个服务类的作用是简化在代码中进行权限验证的逻辑，通过提供这些方法，可以更方便地进行权限控制。例如，在方法上使用 @PreAuthorize("@ss.hasPermi('system:user:list')") 注解时，实际上会调用 PermissionService 中的 hasPermi 方法来进行权限验证。

在这里呢，提到了PermissionContextHolder这个方法，其实就是一个上下文

public class PermissionContextHolder
{
    private static final String PERMISSION_CONTEXT_ATTRIBUTES = "PERMISSION_CONTEXT";

    public static void setContext(String permission)
    {
        RequestContextHolder.currentRequestAttributes().setAttribute(PERMISSION_CONTEXT_ATTRIBUTES, permission,
                RequestAttributes.SCOPE_REQUEST);
    }

    public static String getContext()
    {
        return Convert.toStr(RequestContextHolder.currentRequestAttributes().getAttribute(PERMISSION_CONTEXT_ATTRIBUTES,
                RequestAttributes.SCOPE_REQUEST));
    }
}

1. PermissionContextHolder 类用于在应用程序中的不同部分传递和存储权限信息。
2. setContext 方法用于设置权限信息，它接受一个表示权限的字符串参数，并将该权限信息存储在当前请求的属性中，作用范围为请求级别（RequestAttributes.SCOPE_REQUEST）。
3. getContext 方法用于获取权限信息，它从当前请求的属性中检索之前设置的权限信息，并将其作为字符串返回。
4. 这里使用了RequestContextHolder.currentRequestAttributes()来获取当前请求的属性，这是Spring框架提供的一种方便的方式，可以在应用程序中获取与当前请求相关的属性。
5. PERMISSION_CONTEXT_ATTRIBUTES 是一个常量，表示权限信息在请求属性中的键名。

这段代码提供了一个简单的权限上下文管理工具，使得在应用中能够方便地设置和获取权限信息，通常在处理请求时，可以使用这些工具方法来确保在请求处理过程中能够方便地传递和获取权限信息。

最后总结

梳理一下若依框架的权限过滤系统：

1. 权限注解：

   • 在若依框架中，使用了Spring Security提供的 @PreAuthorize 注解来进行方法级别的访问控制。
   • 例如：@PreAuthorize("@ss.hasPermi('system:user:list')") 表示只有具有 'system:user:list' 权限的用户才能执行标记有该注解的方法。这个字符串是前端传递的。

2. 自定义权限服务类 (PermissionService)：

   • 该类封装了一系列方法，用于在代码中方便地进行权限验证。
   • 提供了对单一权限、多个权限、角色的验证方法，以及这些验证方法的逻辑相反的方法。
   • 通过调用 SecurityUtils.getLoginUser() 获取当前登录用户信息，并通过 PermissionContextHolder 存储和获取权限信息。
   • 通过设置权限信息到上下文，实现在代码中不同地方方便地获取当前请求的权限信息。

3. 权限上下文管理工具 (PermissionContextHolder)：

   • 用于在应用程序中传递和存储权限信息。
   • 提供了 setContext 方法用于设置权限信息，以及 getContext 方法用于获取权限信息。
   • 使用了 RequestContextHolder.currentRequestAttributes() 来获取当前请求的属性，作用范围为请求级别。

4. 权限字符串解析：

   • 权限字符串是以 'system:user:list' 这样的格式表示的，其中 'system' 为系统名称，'user' 为模块名称，'list' 为操作名称。这样的权限字符串形式有助于细粒度地控制权限。

5. Spring Security框架：

   • 若依框架使用了Spring Security作为权限框架，通过配置和注解的方式实现了权限控制。
   • Spring Security提供了强大的身份验证和访问控制机制，可以通过配置文件或注解的方式定义权限规则。

若依框架通过结合Spring Security、自定义权限服务类和权限上下文管理工具，实现了一套灵活且方便集成的权限过滤系统。这样的设计使得在代码中可以通过简单的注解和方法调用实现权限控制，提高了开发效率。