MyBatis拦截器实现sql查询权限动态修改
动机和具体情景
最近考虑怎么在Mybatis自动创建sql执行过程中进行介入，来不对原有代码耦合的情况下，实现对sql的修改。
考虑情景，比如多部门管理系统，员工工资和账户信息敏感，每个部门只能查到对应权限的员工信息。为了实现sql的鉴权，本来是需要将原始的sql语句加上某个权限字段的判断。
为了不耦合，现在的方案是在需要鉴权的Mybatis Mapper方法上增加一个注解，在运行过程中判断该注解存在即对sql进行修改，形成新的带权限字段判断的sql，这样对原始代码的修改就少很多（加个注解就行）。
基本原理和解析流程
Mybatis 允许在映射语句过程中的某一点进行拦截调用，其提供了基于反射的拦截类Interceptor来对方法进行拦截。这些可拦截的方法存在的原始执行类包括：Executor(执行器相关)，ParameterHandler（参数处理相关），ResultSetHandler（结果集相关），StatementHandler（sql语法和会话创建相关）四种。
我们的需求是对sql语句进行改写，选择对StatementHandler进行改写。通过反射获取到此次Mybatis执行的原始Mapper接口和方法名，通过判断我们的自定义注解@permission是否存在来选择鉴权行为，之后从session拿到当前查询权限，从配置文件中拿到权限可查询的数据范围，即可对sql进行修改。最后将修改后的sql反射注入回Mybatis的对应执行类即可。
具体实现
原始查询代码
AccountInfo 账户信息类
映射实体类，存放账户信息。要注意的是在数据库表中还有一个字段permission表示查询权限，在实体类中并没有表示。
public class AccountInfo implements Serializable {
int id;
String account;
String name;
BigDecimal money;
public AccountInfo(){}
public AccountInfo(int id, String account, String name, BigDecimal money){
this.id = id;
this.account = account;
this.name = name;
this.money = money;
}
AccountMapper 操作Mapper类
@Permission为自定义注解，表示该方法需要进行鉴权操作，只能查询当前权限下对应的数据信息。
@Mapper
public interface AccountMapper {
@Permission
@Select("select * from account")
public List<AccountInfo> getAccountInfoList();
}
MainController 主要控制类
给出了查询接口，同时因为设定上权限是存在session中的，给了个模拟赋予权限的接口。
@Controller
public class MainController {
@Autowired
AccountMapper accountMapper;
@RequestMapping("/getAccountInfo")
@ResponseBody
public String getAccountInfo() throws JsonProcessingException {
ObjectMapper objectMapper = new ObjectMapper();
List<AccountInfo> accounts = accountMapper.getAccountInfoList();
return objectMapper.writeValueAsString(accounts);
}
@RequestMapping("/setPermission")
@ResponseBody
public String setPermission(HttpServletRequest request, String permission){
request.getSession().setAttribute("permission", permission);
return permission;
}
}
权限相关实现
配置文件设置
增加权限级联的设置，为值键对形式，表示key能查询的数据范围。
permission:
permissionMap:
develop: "\"develop\""
advertise: "\"advertise\""
finance: "\"develop\", \"advertise\", \"finance\""
需要注意的是sql字符串查询需要使用引号，所以配置文件中需要增加引号转义，方便后续sql的使用。
PermissionConfig读取配置文件
Map形式不能直接读取，增加对应的读取config类，主要其中的成员名称需要和配置文件中对应（这边为permissionMap）。
// 从配置文件中读取permission层次范围
@Configuration
@ConfigurationProperties(prefix = "permission")
@EnableConfigurationProperties(PermissionConfig.class)
public class PermissionConfig {
private Map<String, String> permissionMap = new HashMap<>();
public Map<String, String> getPermissionMap() {
return permissionMap;
}
public void setPermissionMap(Map<String, String> permissionMap) {
this.permissionMap = permissionMap;
}
}
自定义注解
注解只是为了判断是否需要鉴权，不需要特殊的成员。同时设置retention为runtime，并设置作用对象为方法method。
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
// 指名数据库查询方法需要和权限挂钩
public @interface Permission {}
Mybatis拦截器实现
主要的实现集中在PermissionInterceptor中，主要可分为几个部分：拦截配置，元数据获取，自定义注解判断，权限获取与sql修改，反射注入。主要逻辑集中在intercept方法中。
拦截配置
主要是通过@Intercepts注解对拦截器类需要拦截的Handler和方法进行设置，方便之后反射获取对应的类。我们这边是对语句的最终sql进行处理，选择StatementHandler中的prepare方法进行拦截，args中为方法参数类型来判断重载。如果是对query进行拦截，后续注入时其实已经执行了，新的sql并不会被调用。
@Intercepts({
@Signature(type = StatementHandler.class, method = "prepare", args = {Connection.class, Integer.class})
})
@Component
public class PermissionInterceptor implements Interceptor {
元数据获取
用的Mybatis给的元数据类MetaObject进行获取。
private static final ObjectFactory DEFAULT_OBJECT_FACTORY = new DefaultObjectFactory();
private static final ObjectWrapperFactory DEFAULT_OBJECT_WRAPPER_FACTORY = new DefaultObjectWrapperFactory();
private static final ReflectorFactory REFLECTOR_FACTORY = new DefaultReflectorFactory();
@Autowired
private PermissionConfig permissionConfig;
@Override
public Object intercept(Invocation invocation) throws Throwable {
// 获取sql信息
StatementHandler statementHandler = (StatementHandler) invocation.getTarget();
BoundSql boundSql = statementHandler.getBoundSql();
String sql = boundSql.getSql();
System.out.println("原sql为: " + sql);
// 获取元数据
MetaObject metaResultSetHandler = MetaObject.forObject(statementHandler, DEFAULT_OBJECT_FACTORY, DEFAULT_OBJECT_WRAPPER_FACTORY, REFLECTOR_FACTORY);
MappedStatement mappedStatement = (MappedStatement) metaResultSetHandler.getValue("delegate.mappedStatement");
MappedStatement 在 对应的Handler 的 delegate.mappedStatement 属性对象中，包含元数据信息。
获取类和方法信息。
// 获取调用方法
String id = mappedStatement.getId();
String className = id.substring(0, id.lastIndexOf("."));
String methodName = id.substring(id.lastIndexOf(".") + 1);
System.out.println("调用方法为: " + id);
注解判断
反射获取对应方法的注解列表即可。
// 注解查询
Class clazz = Class.forName(className);
Method method = clazz.getDeclaredMethod(methodName);
boolean needPermission = method.isAnnotationPresent(Permission.class);
// 对注解方法进行权限处理
if(needPermission){
System.out.println("需要进行sql权限变化");
获取权限信息并进行sql修改
配置文件中获取权限范围信息，增加到原sql的条件判断中。
// 获取权限信息
HttpSession session = HttpUtil.getSession();
String permission = (String) session.getAttribute("permission");
Map<String, String> map = permissionConfig.getPermissionMap();
for(String key:map.keySet()){
System.out.println(key);
}
String canSelectPermission = null;
if(map.containsKey(permission)){
canSelectPermission = map.get(permission);
}
System.out.printf("当前权限:%s, 可查询范围:%s%n", permission, canSelectPermission);
// 修改sql
String newSql = String.format("select * from (%s) `range` where `range`.permission in (%s)", sql, canSelectPermission);
// String newSql = "select * from account where permission in (\"advertise\")";
System.out.println("修改后的sql为: " + newSql);
反射注入并执行
注入到BoundSql类中，替换原sql。
// 反射修改handler中的sql以执行
Class boundClass = boundSql.getClass();
Field field = boundClass.getDeclaredField("sql");
field.setAccessible(true);
field.set(boundSql, newSql);
效果展示
数据库简单数据
包括一个查询权限字段
给予权限信息
Session中写入权限。
不同权限下获取的信息结果
Finance:
Develop:
总结
一个简单的Mybatis的拦截器尝试，用于对sql依靠查询权限进行动态修改。主要就是Mybatis这个MetaObject需要知道对应的statement的value才能反射拿到，查了好久才发现是delegate.mappedStatement，很神秘。Demo代码传到github了，有兴趣的看一下吧。
https://github.com/huiluczP/mybatis_datascope