easyjweb 用户权限
当执行AbstractCmdAction:execute过程中，在执行对应的方法前需要执行IActionCommandInterceptor前置拦截器（详见《easyjweb IWebAction介绍》AbstractCmdAction部分）。DefaultPermissionCheck是IActionCommandInterceptor接口的默认实现类，doBefore(method)方法增加了权限检验，doAfter(method)方法为空，需要在bean中配置才能使用。
如果欲执行的method满足以下三条件，则检验改角色对该method得权限，否则doBefore方法返回null
1、有类或接口注解@PermissionVerify且disable为FALSE(默认)
2、有方法注解@RoleVerify
3、property中配置com.easyjweb.permissionVerify为TRUE（默认为FALSE）
检验方法执行权限：
1、从容器中AuthorizationUtil实例，若不存在则检验成功（因为不需要执行检验）
2、若类有@PermissionVerify注解且roles不为空但当前用户不属于指定角色（见AuthorizationUtil），即无执行该方法权限，则检验失败
3、若方法有@RoleVerify注解且roles不为空但当前用户不属于指定角色，则检验失败
4、否则检验成功
验证成功则doBefore方法返回null，继续执行execute余下步骤；
验证失败则在response对象中添加LoginRequired==>true、Unauthorized==>true、Cache-Control==>no-cache；然后查找模块中findPage("PERMISSION_PAGE")，存在则返回该Page，否则返回classpath:com/easyjf/web/exception/permissionError.html
AuthorizationUtil接口是权限判断标签实用工具，有三个方法：
1、getUser():Object,得到用户
2、is(String roleName):boolean,根据名称判断用户角色,从而判断用户是否刻有该权限.roleName可以是单独的名称,大小写可以任意.可以包含空格等.
3、is(String operation, Object obj):boolean,判断一个用户是否对指定的对象有指定的操作权限
该接口不无直接实现类，需要用户自己定义，并需配置成一个bean。
下面是easyjweb角色权限的简单demo代码：
- PermissionAction：提供不同用户登录，将用户角色保存在session中，并为不太用角色提供相应服务
@PermissionVerify(disable=false, roles={/*空或者无注解允许所有人或者添加指定角色*/}, value="三种元素均为可选")
public class PermissionAction extends AbstractPageCmdAction {
// 以不同角色登录，将角色名保存到session中
public Page login(WebForm form) {
String role = (String) form.get("role");
if(role != null) {
ActionContext.getContext().getSession().setAttribute("role", role);
return page("method");
} else
return page("index");
}
@RoleVerify(roles={"none"}) // role有三种，随便设成none表示拒绝所有角色
public void doDeny() {
// 拒绝全部role访问
}
@RoleVerify(roles={}) // roles属性为空，或者不添加注解表示允许所有角色
public void doAccess() {
// 允许全部role访问
}
@RoleVerify(roles={"admin"})
public void doAdminAccess() {
// 只允许admin访问
}
@RoleVerify(roles={"admin", "user"})
public void doDenyGuest() {
// 拒绝游客访问
}
@Override
public Object doAfter(WebForm form, Module module) {
// 检验成功后才能达到此处
return page("access");
}
}
- AuthorizationUtil实现类，主要实现is(roleName)方法以检验用户角色
public class AuthorizationUtilImpl implements AuthorizationUtil {
@Override
public Object getUser() {
return null;
}
@Override
public boolean is(String roleName) {
String role = (String) ActionContext.getContext().getSession().getAttribute("role");
return roleName.equalsIgnoreCase(role);
}
@Override
public boolean is(String operation, Object obj) {
return false;
}
}
- 配置文件easyjf-web.xml
<easyjf-web> <framework-setting> <property name="com.easyjweb.defaultActionPackages">demo.action</property> </framework-setting> <modules> <module name="permission" action="demo.action.PermissionAction" path="/permission"> <page url="/permission/deny.html" name="PERMISSION_PAGE" type="template"/> </module> </modules> <beans> <bean name="authorization" class="demo.permission.AuthorizationUtilImpl" /> <bean name="permissionCheck" class="com.easyjf.web.core.support.DefaultPermissionCheck" /> </beans> </easyjf-web>
- 视图页面:WEB-INF/views/permission路径下的access.html,deny.html,index.html,method.html分别是访问成功，拒绝访问，登录，提供服务页面
附件包含该demo的代码