权限控制方案之——基于URL拦截
概述:
在系统开发过程中需要考虑的一个重要的问题就是权限问题,权限问题也是安全问题的一个范畴,我们要求在用户登录系统之后,要控制用户可以访问的系统资源,使得用户只可以访问到系统事先分配好的资源;这里的资源可以是一个URL地址,也可以是页面上的菜单和按钮等。对于实现权限的控制有多种方案,这里说明一下通过URL拦截的方式进行权限控制的实现方案。
基本流程:
对于权限的控制可以分为两个步骤:认证和授权。
认证:即用户登录系统的时候对用户的身份信息进行判别。
授权:即在用户登录成功后为用户分配用户可以访问的资源。
流程图:根据用户的认证和授权过程抽象出如下流程图
通用模型:
根据我们对权限控制的要求,我们可以抽取出如下数据模型:
主体:用户,程序等,包括账号和密码等属性
资源:URL,菜单,按钮等
角色:为了方便资源和主体之间的关系管理,我们一般会在它们之间抽取出一个角色实体,一个角色就是一类主体,通过角色可以实现对主体的分组管理,这样可以更加方便的对主体和其所对应的资源进行管理(扩张和修改)。
模型结构如下图所示:
实现过程:
1、定义用户身份和基本操作:
这里我们创建一个用户的身份实体ActiveUser,用来存放用户的身份信息,在用户登录成功后将该身份信息存放到session当中,
- //用户登陆请求
- @RequestMapping("/loginsubmit")
- public String loginsubmit(HttpSession session,String usercode,String password,String randomcode) throws Exception{
- //校验验证码
- //从session获取正确验证码
- String validateCode = (String)session.getAttribute("validateCode");
- if(!randomcode.equals(validateCode)){
- //抛出异常:验证码错误
- throw new CustomException("验证码 错误 !");
- }
- //用户身份认证
- ActiveUser activeUser = sysService.authenticat(usercode, password);
- //登录成功将用户信息记录到session
- session.setAttribute("activeUser", activeUser);
- //跳转到首页
- return "redirect:first.action";
- }
- //退出请求
- @RequestMapping("/logout")
- public String logout(HttpSession httpSession) throws Exception{
- //清空session
- httpSession.invalidate();
- return "redirect:first.action";
- }
2、公开访问地址配置:
对于不需要用户认证就可以访问的地址信息进行配置,这里我们可以单独写一个配置文件进行配置,后边读取判断。
- #公开访问地址
- login.action=登录页面
- loginsubmit.action=登录请求
3、公共访问地址配置:
对于只要用户认证通过就可以访问的地址信息进行配置,这里我们同样也是通过一个配置文件进行配置,后边通过读取判断。
- #公共访问地址
- first.action=首页
- logout.action=退出
4、认证拦截器:
通过认证拦截器对用户身份信息进行判断。
- public class LoginInterceptor implements HandlerInterceptor {
- @Override
- public boolean preHandle(HttpServletRequest request,
- HttpServletResponse response, Object handler) throws Exception {
- // 校验是否是公开资源地址
- List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");
- // 用户访问的url
- String url = request.getRequestURI();
- for (String open_url : open_urls) {
- if (url.indexOf(open_url) >= 0) {
- // 如果访问的是公开 地址则放行
- return true;
- }
- }
- // 用户是否登录成功
- HttpSession session = request.getSession();
- ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");
- if (activeUser != null) {
- // 用户已经登陆认证,放行
- return true;
- }
- // 否则跳转到登陆页面
- request.getRequestDispatcher("/WEB-INF/jsp/login.jsp").forward(request,
- response);
- return false;
- }
- @Override
- public void postHandle(HttpServletRequest arg0, HttpServletResponse arg1,
- Object arg2, ModelAndView arg3) throws Exception {
- }
- @Override
- public void afterCompletion(HttpServletRequest arg0,
- HttpServletResponse arg1, Object arg2, Exception arg3)
- throws Exception {
- }
- }
5、授权拦截器
通过授权拦截器,判断用户是否具有访问资源的权限。
- public class PermissionInterceptor implements HandlerInterceptor {
- @Override
- public boolean preHandle(HttpServletRequest request,
- HttpServletResponse response, Object handler) throws Exception {
- String url = request.getRequestURI();
- // 校验是否是公开资源地址
- List<String> open_urls = ResourcesUtil.gekeyList("anonymousURL");
- for (String open_url : open_urls) {
- if (url.indexOf(open_url) >= 0) {
- // 公开地址放行
- return true;
- }
- }
- //判断是否是公共访问地址
- List<String> common_urls = ResourcesUtil.gekeyList("commonURL");
- for (String common_url : common_urls) {
- if (url.indexOf(common_url) >= 0) {
- //公共地址放行
- return true;
- }
- }
- HttpSession session = request.getSession();
- ActiveUser activeUser = (ActiveUser) session.getAttribute("activeUser");
- // 获取用户权限列表
- List<SysPermission> permission_list = activeUser.getPermissions();
- // 校验用户访问地址是否在用户权限范围内
- for (SysPermission sysPermission : permission_list) {
- String permission_url = sysPermission.getUrl();
- if (url.contains(permission_url)) {
- return true;
- }
- }
- // 跳转到拒绝访问的页面
- request.getRequestDispatcher("/refuse.jsp").forward(
- request, response);
- return false;
- }
- @Override
- public void postHandle(HttpServletRequest arg0, HttpServletResponse arg1,
- Object arg2, ModelAndView arg3) throws Exception {
- }
- @Override
- public void afterCompletion(HttpServletRequest arg0,
- HttpServletResponse arg1, Object arg2, Exception arg3)
- throws Exception {
- }
- }
6、配置拦截器
将拦截器配置起来,使其工作。
- <!-- 拦截器 -->
- <mvc:interceptors>
- <!-- 多个拦截器,顺序执行 -->
- <!-- 认证拦截器 -->
- <mvc:interceptor>
- <mvc:mapping path="/**" />
- <bean class="cn.itcast.ssm.controller.interceptor.LoginInterceptor"></bean>
- </mvc:interceptor>
- <!-- 授权拦截器 -->
- <mvc:interceptor>
- <mvc:mapping path="/**" />
- <bean class="cn.itcast.ssm.controller.interceptor.PermissionInterceptor"></bean>
- </mvc:interceptor>
- </mvc:interceptors>
总结
这里主要是通过两个拦截器实现了认证和授权,其优点是可以不必依赖于框架实现,对于拦截器我们也可以通过web提供的filter实现;缺点在于对于系统配置很多的URL,或者在系统初始化时将URL设置到数据库中,再有就是对于访问地址的变动要同时改变配置,维护相对不易。
权限控制方案之——基于URL拦截的更多相关文章
- 基于url拦截实现权限控制
用户表,角色表,用户角色表,权限表,权限角色表 1.用户通过认证(可以是验证用户名,密码等) 2.登陆拦截器,为公开的url放行, 登陆时,将用户信息放入session中,获得用户的权限集合,将集合放 ...
- 尝试asp.net mvc 基于controller action 方式权限控制方案可行性
微软在推出mvc框架不久,短短几年里,版本更新之快,真是大快人心,微软在这种优秀的框架上做了大量的精力投入,是值得赞同的,毕竟程序员驾驭在这种框架上,能够强力的精化代码,代码层次也更加优雅,扩展较为方 ...
- 尝试asp.net mvc 基于controller action 方式权限控制方案可行性(转载)
微软在推出mvc框架不久,短短几年里,版本更新之快,真是大快人心,微软在这种优秀的框架上做了大量的精力投入,是值得赞同的,毕竟程序员驾驭在这种框架上,能够强力的精化代码,代码层次也更加优雅,扩展较为方 ...
- python RBAC权限控制模型扩展 基于JWT实现
jwt,全称 json web token,是使用一定的加密规则生成的token串来保证登录状态.验证用户身份.做权限认证等工作 以往保存用户登录状态多用session实现,但是当服务涉及多台服务器分 ...
- PHP中多IP段权限控制方案
在某些项目中我们可能会用到根据IP段进行权限校验,比如不在我们配置的IP段内的用户访问某些页面或功能模块时,将提示其权限不够并禁止访问该页面的内容.鉴于项目中需求各异,下面只说下大致思路以及我个人的实 ...
- 基于url拦截
- 项目一:第十二天 1、常见权限控制方式 2、基于shiro提供url拦截方式验证权限 3、在realm中授权 5、总结验证权限方式(四种) 6、用户注销7、基于treegrid实现菜单展示
1 课程计划 1. 常见权限控制方式 2. 基于shiro提供url拦截方式验证权限 3. 在realm中授权 4. 基于shiro提供注解方式验证权限 5. 总结验证权限方式(四种) 6. 用户注销 ...
- JAVAEE——BOS物流项目10:权限概述、常见的权限控制方式、apache shiro框架简介、基于shiro框架进行认证操作
1 学习计划 1.演示权限demo 2.权限概述 n 认证 n 授权 3.常见的权限控制方式 n url拦截权限控制 n 方法注解权限控制 4.创建权限数据模型 n 权限表 n 角色表 n 用户表 n ...
- 基于URL权限拦截的实现
一.实现原理 1.实现原理 本示例采用SpringMVC的拦截器来实现一个基于URL的权限拦截. 2.权限管理流程 二.数据库搭建 1.用户表(sys_user) (1)表结构 (2)表字段说明 ...
随机推荐
- iOS_03_为什么选择ios开发
为什么选择ios开发 为什么要选择移动开发 * 手机将是人类最离不开的设备之一,硬件软件参数也越来越强,应用需求量剧增. * 移动互联(就是将移动通信和互联网二者结合起来)发展迅速,各大公司都对移动互 ...
- 学习redis--安装(二)
安装前准备,我是在虚拟机中安装centos,然后安装redis. 安装 1.安装VMware,并安转centos系统 2.将redis的压缩包,上传到linux系统中(将下载到pc中的文件,拖到cen ...
- SIMPLE QUERY几个原则
1.减少查询对象的数据页(db block)数量. 尽量避免使用 * 用准确的列明减少不必要的一些资源浪费. 2.查看是否使用了index. 索引是SQL性能调优的重要手段,下面几个是有索引不能使 ...
- tomcat自动URLDecode解码问题(+号变空格)
最近项目中出现一个问题,就是前段调后端接口,参数带+号,传到后端后+号自动URLDecode成空格了. 1.问题排查 条件:tomcat配置server.xml有URIEncoding="U ...
- WIN32得到HWND
HWND hwndFound //= FindWindow(_T("RC352_Win32"),NULL); = GetConsoleWindow();
- freemarker 模板中定义变量
在模板中能够定义三种类型的变量: 简单变量:它能从模板中的不论什么位置来訪问,或者从使用 include 指令引入的模板訪问. 能够使用 assign 或 macro 指令来创建或替换这些变量. 局部 ...
- UTC、GTC时间和本地时间(Linux默认使用UTC时间,要修改一下)
1.问题 对于装有Windows和Linux系统的机器,进入Windows显示的时间和Linux不一致,Linux中的时间比Windows提前8个小时. 2.解决方法 修改/etc/default/r ...
- 一个Exception catch不住的【异常】
现象: Controller中的方法接收到前台ajax请求后开始执行, 当执行到某一行时程序终止,前台回调进Error方法. 后台明明catch了Exception异常,但异常并没有被捕获(不进cat ...
- [Docker] Run Short-Lived Docker Containers
Learn the benefits of running one-off, short-lived Docker containers. Short-Lived containers are use ...
- ImageView一例 分类: H1_ANDROID 2013-10-30 23:02 1812人阅读 评论(0) 收藏
参考自<疯狂android讲义>2.4节 效果如下: 当点击图上某点时,将之附近放大至下图. 布局文件: <LinearLayout xmlns:android="http ...