SpringBoot利用注解方式接口权限过滤

本文主要介绍利用注解方式实现权限过滤，基于Spring Boot项目，这里权限是指不同平台的账号访问同一项目，从而带来的问题，而非业务权限。例如：在一个项目中，有C端用户和M端管理用户，接口有些通用，有些不通用，如果不加以控制则会出现接口垮平台调用，C端可以调用M端接口这种不可控情况，废话少说直接进入主题。

自定义注解

import java.lang.annotation.*;

@Documented
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface Authority {

    Platform[] value();                   // 那些平台能够访问

}

• 首先自定义个注解，名字可以随便起，本文注解名称 @Authority 意思为权限控制，该注解主要打在Controller 中对外暴露的方法中。

@RestController
@RequestMapping("/client_b_user")
public class ClientBUserController {

    @Authority(value={Platform.B})
    @GetMapping("/getUserInfo")
    public UserInfo getUserInfo(){
        ......
    }
}

• Value[] 为一个枚举类，主要是定义本项目中又那些用户群体，例如 Platform.B 与 Platform.C 代表B端用户与C端用户。

• 在编码的过程中就定义好Controller中方法可以由那些平台或者用户群体访问。

监听Spring Bean的创建

• 通过实现BeanPostProcessor可以达到监听SpringBean创建

• 这里我们可以通过判断创建的Bean是否为 @Controller 或者 @RestController

• 如果 Bean 对象问 @Controller 或者 @RestController 那么则监听扫描其方法是否有 @Authority 注解

@Component
public class AuthorityControllerBeanProcessor implements BeanPostProcessor {

    @Override
    public Object postProcessAfterInitialization(Object bean, String beanName) throws BeansException {

        Class clazz = bean.getClass();
        Boolean isControllerAnnotationInClass = clazz.isAnnotationPresent(Controller.class) || clazz.isAnnotationPresent(RestController.class);

        if (isControllerAnnotationInClass) {
            // 如果这是一个 Controller Bean 的话
            // 那么就读取所有方法的权限配置
            Method[] methods = ReflectionUtils.getAllDeclaredMethods(bean.getClass());

            for (Method method : methods) {

                Boolean isAuthorityAnnotationInMethod = method.isAnnotationPresent(Authority.class);
                String target= bean.getClass().getName() + "." + method.getName();

                if (isAuthorityAnnotationInMethod) {
                    // 如果有 @Authority 注解的话
                    // 则记录该注解中的内容
                    Authority authority = method.getAnnotation(Authority.class);
                    AuthorityAnnotationContainer.addPlatformConfiguration(target，authority);

                }
            }

            return bean;
        } else {
            // 否则的话直接返回Bean
            return bean;
        }
    }

• AuthorityAnnotationContainer 实质为一个Map 记录着那些方法是打上了 @Authority 注解的，Key 为方法名，Value为注解的内容，本文不再提供代码。

实现拦截

• 注解打完之后，最终还是需要拦截器进行拦截。

• 定义拦截器

@Component
public class AuthorityInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {

        // 将handler强转为HandlerMethod, 前面已经证实这个handler就是HandlerMethod
        HandlerMethod handlerMethod = (HandlerMethod) handler;
        // 从方法处理器中获取出要调用的方法
        Method method = handlerMethod.getMethod();

        String target = handlerMethod.getBean().getClass().getName() + "." + method.getName();

        Authority authority = AuthorityAnnotationContainer .getAuthority(target);
        
        Boolean isSuccess = false;    // 是否能够访问
        if(authority != null){
              // 这里进行条件判断，
              // 本项目中的做法是，取得用户信息，然后判断用户是哪个平台的，在决定是否能够访问。
              // 如果能够访问 isSuccess = true;
        }
        return isAuthority;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {

    }
}

总结

本文的重点是对于 BeanPostProcessor 的使用，实现 BeanPostProcessor 即可在创建Bean的时候增加一个监听器，做一些对应的操作。