devbox
小丑西瓜9
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

springboot自定义注解+mybatis拦截器-数据权限设计_使用自定义注解 结合mybatis拦截器实现数据权限

作者：小丑西瓜9 | 2024-06-14 04:40:01

赞

踩

使用自定义注解 结合mybatis拦截器实现数据权限

目录

前言：

版本说明:

数据权限表结构设计：

权限实体类：

启动时缓存数据权限到redis

自定义注解：

实现Interceptor接口：

前言：

       由于业务场景需要，针对部分业务功能数据需要根据角色实现数据权限控制，数据关系比较复杂，有多表关联查询的场景，查阅一番资料，使用Mybatis拦截器--Interceptor，通过实现Interceptor接口，结合自定义注解，实现数据权限控制。哪里有不对的请各位大佬指出。

有用的话点个赞再走呗！

MyBatis 允许使用插件来拦截的方法调用包括：

  • Executor (update, query, flushStatements, commit, rollback, getTransaction, close, isClosed) 拦截执行器的方法
  • ParameterHandler (getParameterObject, setParameters) 拦截参数的处理
  • ResultSetHandler (handleResultSets, handleOutputParameters) 拦截结果集的处理
  • StatementHandler (prepare, parameterize, batch, update, query) 拦截Sql语法和会话构建的处理

具体原理可以参考：MyBatis拦截器原理介绍-简书

拦截器注解使用：

@Intercepts和@Signature注解。

@Intercepts

@Intercepts注解只有一个属性，即value，其返回值类型是一个@Signature类型的数组，表示我们可以配置多个@Signature注解。

@Signature

@Signature注解其实就是一个方法签名，其共有三个属性，分别为：

type指接口的class，
method指接口中的方法名，
args指的是方法参数类型(该属性返回值是一个数组)。

版本说明:

开发工具：IDEA

JDK: 1.8

springboot：2.1.8-RELEASE

框架：springboot+mybatisplus

数据库：mysql 5.7

redis: 7.0

数据权限表结构设计：

target表示目标功能，如模板定义：iotapp，分区管理：devicearea

tid：表示目标功能表的主键id，用英文逗号隔开。

  1. CREATE TABLE `hd_user_permission` (
  2.   `id` varchar(64) NOT NULL,
  3.   `role_id` varchar(64) DEFAULT NULL COMMENT '角色id',
  4.   `target` varchar(50) DEFAULT NULL COMMENT '目标模块',
  5.   `tid` longtext COMMENT '授权对象id',
  6.   `enable` int(1) DEFAULT NULL COMMENT '是否可用',
  7.   `remark` varchar(500) DEFAULT NULL COMMENT '备注',
  8.   `created` datetime DEFAULT NULL COMMENT '创建时间',
  9.   `creator` varchar(20) DEFAULT NULL COMMENT '创建人',
  10.   `updated` datetime DEFAULT NULL COMMENT '更新时间',
  11.   `updator` varchar(20) DEFAULT NULL COMMENT '更新人',
  12.   PRIMARY KEY (`id`)
  13. ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='用户权限';

权限实体类：

  1. package com.hdkj.hdiot.configure.entity;
  2.  
  3. import com.baomidou.mybatisplus.annotation.TableName;
  4. import com.hdkj.hdiot.configure.entity.RootEntity;
  5. import lombok.Data;
  6. import lombok.EqualsAndHashCode;
  7.  
  8. import java.util.Date;
  9.  
  10. /**
  11.  * 用户权限
  12.  *
  13.  * @author liuch liuchenghui@hdkjrd.com
  14.  * @since 1.0.0 2022-06-22
  15.  */
  16. @Data
  17. @EqualsAndHashCode(callSuper=false)
  18. @TableName("hd_user_permission")
  19. public class HdUserPermissionEntity extends RootEntity {
  20. 	private static final long serialVersionUID = 1L;
  21.  
  22.     /**
  23.      * 角色id
  24.      */
  25. 	private String roleId;
  26.     /**
  27.      * 目标模块
  28.      */
  29. 	private String target;
  30.     /**
  31.      * 目标数据id
  32.      */
  33. 	private String tid;
  34.     /**
  35.      * 增 删 改 查、可授予（级联） C R U D A
  36.      */
  37. 	private String actions;
  38.     /**
  39.      * 是否可用
  40.      */
  41. 	private Integer enable;
  42.     /**
  43.      * 备注
  44.      */
  45. 	private String remark;
  46. }

基类：

  1. package com.hdkj.hdiot.configure.entity;
  2.  
  3. import com.baomidou.mybatisplus.annotation.FieldFill;
  4. import com.baomidou.mybatisplus.annotation.TableField;
  5. import com.fasterxml.jackson.annotation.JsonFormat;
  6. import io.swagger.annotations.ApiModelProperty;
  7. import lombok.Data;
  8.  
  9. import java.io.Serializable;
  10. import java.util.Date;
  11.  
  12. /**
  13.  * @author liuch
  14.  * @title: RootEntity
  15.  * @description: 基础实体类，物联网2.0用
  16.  * @date 2022/2/18 13:40
  17.  */
  18. @Data
  19. public abstract class RootEntity implements Serializable {
  20.  
  21.     @ApiModelProperty(value = "id")
  22.     private String id;
  23.  
  24.     @JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss" , timezone = "GMT+8")
  25.     @TableField(fill = FieldFill.INSERT)
  26.     @ApiModelProperty(value = "创建时间")
  27.     private Date created;
  28.  
  29.     @TableField(fill = FieldFill.INSERT)
  30.     @ApiModelProperty(value = "创建人")
  31.     private String creator;
  32.  
  33.     @JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss" , timezone = "GMT+8")
  34.     @TableField(fill = FieldFill.INSERT_UPDATE)
  35.     @ApiModelProperty(value = "更新时间")
  36.     private Date updated;
  37.  
  38.     @TableField(fill = FieldFill.INSERT_UPDATE)
  39.     @ApiModelProperty(value = "更新人")
  40.     private String updator;
  41. }

crud接口省略；

启动时缓存数据权限到redis

  1.  
  2.  
  3. /**
  4.  * @Author: 刘成辉
  5.  * @Date: 2022/6/18 10:05
  6.  * @Description:
  7.  */
  8. @Component
  9. @Slf4j
  10. //@Order(99)
  11. public class HdInitCacheApplication implements ApplicationRunner {
  12.  
  13.     @Autowired
  14.     HdUserPermissionService userPermissionService;
  15.  
  16.     @Override
  17.     public void run(ApplicationArguments args) throws Exception {
  18.         log.info("----------缓存用户权限-----------------");
  19.         userPermissionService.initCache();
  20.         log.info("--------缓存用户权限结束--------------");
  21.     }
  22. }

角色id+目标功能模块作为key ，对象作为value，以Hash存储。

  1.  @Override
  2.     public void initCache() {
  3.         HashOperations operations = redisTemplate.opsForHash();
  4.         List<HdUserPermissionEntity> permissionEntityList = selectList(new QueryWrapper<>());
  5.        
  6.         for (HdUserPermissionEntity p : permissionEntityList) {
  7.             operations.put(CacheConstant.PERMISSION,p.getRoleId()+"-"+p.getTarget(),p);
  8.         }
  9.  
  10.     }

自定义注解：

@UserPermission
  1.  
  2. /**
  3.  * @Author: 刘成辉
  4.  * @Date: 2022/6/22 9:43
  5.  * @Description:
  6.  */
  7. @Documented
  8. @Target({ElementType.METHOD})
  9. @Retention(RetentionPolicy.RUNTIME)
  10. public @interface UserPermission {
  11.  
  12.     /**
  13.      * 目标模块
  14.      * @return
  15.      */
  16.     PermissionObject[] value();
  17. }
@PermissionObject
  1.  
  2. @Documented
  3. @Retention(RetentionPolicy.RUNTIME)
  4. @Target({})
  5. public @interface PermissionObject {
  6.  
  7.     /**
  8.      * 授权目标
  9.      */
  10.     String target();
  11.  
  12.     /**
  13.      * 表名
  14.      */
  15.     String tableName();
  16.  
  17.     /**
  18.      * 别名
  19.      */
  20.     String tableAlias();
  21.  
  22.  
  23.  
  24. }

注解是为了标记那个dao的方法需要实现数据权限，如：

  1. @UserPermission({
  2.             @PermissionObject(target = "devicearea", tableName = "hd_device_area", tableAlias = "b"),
  3.             @PermissionObject(target = "app", tableName = "hd_iot_app", tableAlias = "c"),
  4.             @PermissionObject(target = "model", tableName = "hd_iot_model", tableAlias = "d"),
  5.     })
  6.     List<HDDevicePageRespDTO> selectPageList(@Param("params") Map<String, Object> params, IPage<HdDeviceEntity> page);

实现Interceptor接口：

  1.  
  2. @Slf4j
  3. @Intercepts(
  4.         {
  5.                 @Signature(type = StatementHandler.class, method = "prepare", args = {Connection.class, Integer.class})
  6.         }
  7. )
  8. public class UserPermissionHandler implements Interceptor {
  9.  
  10.     //@Autowired
  11.     //RedisTemplate redisTemplate;
  12.  
  13.     /**
  14.      * 是否开启用户权限验证
  15.      */
  16.     @Value("${hdiot.auth.enableDataPermission:#{false}}")
  17.     boolean enableDataPermission;
  18.  
  19.  
  20.     /**
  21.      * 过滤权限接口uri白名单
  22.      */
  23.     @Value("${hdiot.auth.permissionWhiteList:#{null}}")
  24.     private List<String> whitelist;
  25.  
  26.     @Override
  27.     public Object intercept(Invocation invocation) throws Throwable {
  28.         if (!enableDataPermission || inWhiteList()) {
  29.             return invocation.proceed();
  30.         }
  31.         StatementHandler statementHandler = PluginUtils.realTarget(invocation.getTarget());
  32.         MetaObject metaObject = SystemMetaObject.forObject(statementHandler);
  33.  
  34.         //获取拦截下的mapper
  35.         MappedStatement mappedStatement = (MappedStatement) metaObject.getValue("delegate.mappedStatement");
  36.         if (!SqlCommandType.SELECT.equals(mappedStatement.getSqlCommandType())) {
  37.             return invocation.proceed();
  38.         }
  39.         UserPermission dataAuth = getDataAuth(mappedStatement);
  40.  
  41.         //没有注解直接放行,可根据情况补充更多的业务逻辑
  42.         if (dataAuth == null) {
  43.             return invocation.proceed();
  44.         }
  45.         //是否为mybatisPlus的count分页查询，以_mpCount结尾
  46.         boolean innerCount = mappedStatement.getId().endsWith("_mpCount");
  47.         //获取上一个拦截器传过来的sql
  48.         BoundSql boundSql = statementHandler.getBoundSql();
  49.         String orgSql = boundSql.getSql(); //获取到当前需要被执行的SQL
  50.         //根据指定权限点对原有sql进行修改
  51.         String sql = modifyOrgSql(orgSql, dataAuth, innerCount);
  52.         metaObject.setValue("delegate.boundSql.sql", sql);
  53.         return invocation.proceed();
  54.     }
  55.  
  56.     @Override
  57.     public Object plugin(Object o) {
  58.         if (o instanceof StatementHandler) {
  59.             return Plugin.wrap(o, this);
  60.         }
  61.         return o;
  62.     }
  63.  
  64.     @Override
  65.     public void setProperties(Properties properties) {
  66.  
  67.     }
  68.  
  69.     /**
  70.      * 通过反射获取mapper方法是否加了数据拦截注解
  71.      */
  72.     private UserPermission getDataAuth(MappedStatement mappedStatement) throws ClassNotFoundException {
  73.         UserPermission permission = null;
  74.         String id = mappedStatement.getId();
  75.         String className = id.substring(0, id.lastIndexOf("."));
  76.         String methodName = id.substring(id.lastIndexOf(".") + 1);
  77.         final Class<?> cls = Class.forName(className);
  78.         final Method[] methods = cls.getMethods();
  79.         for (Method method : methods) {
  80.             if (method.getName().equals(methodName) && method.isAnnotationPresent(UserPermission.class)) {
  81.                 permission = method.getAnnotation(UserPermission.class);
  82.                 break;
  83.             }
  84.         }
  85.         return permission;
  86.     }
  87.  
  88.     /**
  89.      * 根据权限点拼装对应sql
  90.      *
  91.      * @return 拼装后的sql
  92.      */
  93.     private String modifyOrgSql(String orgSQql, UserPermission userPermission, boolean innerCount) throws JSQLParserException {
  94.         CCJSqlParserManager parserManager = new CCJSqlParserManager();
  95.         Select select = (Select) parserManager.parse(new StringReader(orgSQql));
  96.         PlainSelect plain = (PlainSelect) select.getSelectBody();
  97.         List<Join> joins = plain.getJoins();
  98.         if (innerCount) {
  99.             SubSelect subSelect = (SubSelect) plain.getFromItem();
  100.             plain = (PlainSelect) subSelect.getSelectBody();
  101.             joins = plain.getJoins();
  102.         }
  103.         if (null == joins || joins.isEmpty()) {
  104.             joins = new ArrayList<>();
  105.         }
  106.         String addWhere = "";
  107.         List<String> whereList = new ArrayList<>();
  108.         PermissionObject[] target = userPermission.value();
  109.         for (PermissionObject permissionObject : target) {
  110.             String where = getAllowDatas(permissionObject, joins);
  111.             //String where = permissionObject.tableAlias() + ".id in(" + ids + ") ";
  112.             whereList.add(where);
  113.         }
  114.         addWhere = String.join("and ", whereList);
  115.  
  116.         if (plain.getWhere() == null) {
  117.             plain.setWhere(CCJSqlParserUtil.parseCondExpression(addWhere));
  118.         } else {
  119.             plain.setWhere(new AndExpression(plain.getWhere(), CCJSqlParserUtil.parseCondExpression(addWhere)));
  120.         }
  121.         plain.setJoins(joins);
  122.         return select.toString();
  123.     }
  124.  
  125.  
  126.     /**
  127.      * 获取有权限的数据
  128.      *
  129.      * @param target
  130.      * @return
  131.      */
  132.     public String getAllowDatas(PermissionObject target, List<Join> joins) {
  133.         String where = "%s.role_id in (%s) and %s.target = '%s'";
  134.         Join join = new Join();
  135.         //权限表别名
  136.         String alais = "pre_" + target.target();
  137.         List<String> partItems = new ArrayList<>();
  138.         partItems.add("hd_user_permission");
  139.         Table table = new Table(partItems);
  140.         table.setAlias(new Alias(alais));
  141.         join.setRightItem(table);
  142.         EqualsTo equals = new EqualsTo();
  143.         equals.setLeftExpression(new Column(alais + ".tid"));
  144.         equals.setRightExpression(new Column(target.tableAlias() + ".id"));
  145.         join.setOnExpression(equals);
  146.         joins.add(join);
  147.         //HashOperations operations = redisTemplate.opsForHash();
  148.         List<String> dataIds = new ArrayList<>();
  149.         //获取用户信息
  150.         UserInfo user = BaseCtrl.getCurrentUser();
  151.         log.info("权限用户：" + JSON.toJSONString(user));
  152.  
  153.         String ids = "";
  154.         if (null == user || StringUtils.isBlank(user.getUserId())) {
  155.             ids = "''";
  156.         } else {
  157.  
  158.         }
  159.         List<String> roleIds = user.getRoles();
  160.         for (String dataId : roleIds) {
  161.             if (roleIds.indexOf(dataId) == roleIds.size() - 1) {
  162.                 ids += ("'" + dataId + "'");
  163.                 break;
  164.             }
  165.             ids += ("'" + dataId + "',");
  166.         }
  167.         return String.format(where, alais, ids, alais, target.target());
  168.     }
  169.  
  170.     private boolean inWhiteList() {
  171.         ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
  172.         if (null == attributes) {
  173.             return false;
  174.         }
  175.         String requestURI = attributes.getRequest().getRequestURI();
  176.         for (String s : whitelist) {
  177.             if (requestURI.contains(s)) {
  178.                 return true;
  179.             }
  180.         }
  181.         return false;
  182.     }
  183. }

搞定，以上就是基于mybatis的数据权限控制了，使用的是join查询，sql语句记得加group by，避免出现重复数据，另外，记得给字段加索引！！！

有用的话点个赞再走呗！

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_24473507/article/details/126545343

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/小丑西瓜9/article/detail/716404
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号