细颗粒度权限控制

细颗粒度权限控制我们采用拦截器完成

具体实现：

第一步：定义一个类 继承MethodFilterInterceptor类

第二步：覆盖doIntercept方法

第三步：通过ActionInvocation 对象获取reques、actiont对象 进而获取方法名

第四步：通过action对象和反射获取方法的反射对象

第五步：获取session中的角色用户信息以及方法上的权限（注解）来校验该用户是否有操作该方法的权限

第六步：在struts.xml中配置

代码实现：

protected String doIntercept(ActionInvocation actioninvocation) throws Exception {
// TODO Auto-generated method stub
//把自定义错误信息  放置到request中
HttpServletRequest request=(HttpServletRequest) actioninvocation.getInvocationContext().get(StrutsStatics.HTTP_REQUEST);
try{

//获取请求的action对象
Object action=actioninvocation.getAction();
//获取请求方法的名称
String methodName=actioninvocation.getProxy().getMethod();
//获取action中的方法的封装类（action中的方法没有参数）
Method method=action.getClass().getMethod(methodName, null);
//action 的返回值
String result=null;

//在完成跳转Action之前完成细颗粒权限控制，控制Action的每个方法 
//检查注解，是否可以操作权限的URl
boolean flag=isCheckLimit(request,method);
if(true){
//运行被拦截的Action,期间如果发生异常会被catch
result=actioninvocation.invoke();

}else{
request.setAttribute("errorMsg", "对不起！您没有权限操作此功能！");
return "errorMsg";
}
return result;
}catch (Exception e) {
/**
* 处理异常
*/
String errorMsg="出现错误信息，请查看日志!";
//通过instanceof 判断到底是什么异常数据类型
if(e instanceof RuntimeException){
//未知的运行异常
RuntimeException re=(RuntimeException)e;
re.printStackTrace();
errorMsg=re.getMessage().trim();
}
/**
* 发送错误消息到页面
*/
request.setAttribute("errorMsg", errorMsg);

/**
*log4j记录日志 
*/
Log log=LogFactory.getLog(actioninvocation.getAction().getClass());
log.error("errorMsg",e);
return "errorMsg";

}

}


/**验证细颗粒权限控制*/
private boolean isCheckLimit(HttpServletRequest request, Method method) {
// TODO Auto-generated method stub
if(method==null){
return false;
}
//获取当前的登陆用户
ElecUser elecUser=(ElecUser) request.getSession().getAttribute("globle_user");
if(elecUser==null){
return false;
}
//获取当前登陆角色的用户（一个用户可能有多个角色）
Hashtable ht=(Hashtable) request.getSession().getAttribute("globle_role");
if(ht==null || ht.size()<=0){
return false;
}


//处理注解，判断方法上是否存在注解（注解的名称为：AnnotationLimit）
/*
* 例如：
   * @AnnotationLimit(mid="aa",pid="0")
 public String home(){
*/
boolean isAnnotationPresent = method.isAnnotationPresent(AnnotationLimit.class);

//不存在注解（此时不能操作该方法）
if(!isAnnotationPresent){
return false;
}

//存在注解（调用注解）
AnnotationLimit limit = method.getAnnotation(AnnotationLimit.class);

//获取注解上的值
String mid = limit.mid();  //权限子模块名称
String pid = limit.pid();  //权限父操作名称

/**
* 如果登陆用户的角色id+注解上的@AnnotationLimit(mid="aa",pid="0")
*   * 在elec_role_popedom表中存在   flag=true，此时可以访问Action的方法;
*   * 在elec_role_popedom表中不存在 flag=false，此时不能访问Action的方法;
*/
boolean flag = false;
//拦截器中加载spring容器，从而获取Service类，使用Service类查询对应的用户信息
WebApplicationContext wac = WebApplicationContextUtils.getWebApplicationContext(request.getSession().getServletContext());
ElecRoleService elecRoleService = (ElecRoleService)wac.getBean(ElecRoleService.SERVICE_NAME);
//遍历角色ID
if(ht!=null && ht.size()>0){
for(Iterator> ite = ht.entrySet().iterator();ite.hasNext();){
Entry entry = ite.next();
//获取角色ID
String roleID = entry.getKey();
flag = elecRoleService.findRolePopedomByID(roleID, mid, pid);
if(flag){
break;
}
}
}
return flag;
}

配置文件代码实现（struts2.xml）

menuHome,title,left,change,loading,logout,alermStation,alermDevice,showMenu

总结：细颗粒的权限控制总结

1.使用struts2的拦截器

2.定义一个注解（mid，pid),对应权限code和父级权限的code，将注解添加到Action类中的每一个方法

3.每一个Action类的方法上添加注解（mid=""，pid=""），表示方法的唯一标识（即 该方法所具有的权限）

4.在struts2的拦截器中，从Session中获取角色ID，获取Action类上的注解（mid和pid），使用角色ID，mid和pid查询角色权限表，判断当前用户是否可以操作该方法