【JavaWeb项目】一个众筹网站的开发（六）后台用户权限控制

登陆成功进入控制面板后

左侧的菜单是共同的元素，抽取出来做静态包含

要求必须是按照不同的用户得到不同的菜单

用户做了权限限制，哪个用户能操作哪些内容（链接、按钮、内容）

一、RBAC权限模型

权限管理是大部分软件系统都会涉及的，而且权限管理的需求本质往往是一样的，不同的角色拥有不同的权限，只要你充当了某个角色，你就拥有了相对应的功能。

RBAC（Role-Based Access Control，基于角色的访问控制），就是用户通过角色域权限进行关联。简单而言，一个用户拥有若干角色，每个角色拥有若干权限，这样就形成了“用户-角色-权限”的授权模型。在这种模型中，用户与角色之间，角色与权限(功能)之间，一般是多对多的关系。

用户：每个人都是一个用户；

角色：公司（职务）；系统（角色）：如，管理员，会员，项目经理...

权限：能操作哪些东西；



举例：我，秦始皇，钱；

我是谁？leifengyang（用户）

来到公司；职务：讲师（角色）

能干什么？：讲课，给学生解决问题；（权限）

用户-----角色；（多对多）一个用户有很多角色；一个角色下也是很多用户；

        用户---用户_角色中间表---角色

角色----权限（菜单）（多对多）；一个角色能操作很多菜单；一个菜单很多角色都能操作

角色（用户身份）---角色_权限_中间表---权限（菜单）

RBAC：基于角色

用户---（角色）---权限：用户如果直接对应权限，同一类的用户他们操作的菜单都一样，我们并没有将共同因素抽取出来，如果有100万个用户，每个用户都有很多权限，用户和权限直接对应，中间表非常庞大臃肿

直接对应；

layerui（弹出层插件）

扩展模型

RBAC0

核心级别，其他级别都建立在该级别上

RBAC1

进行了角色的分层，角色有上下级关系

RBAC2基于RBAC0，进行了角色的访问控制

RBAC3

最全面的权限管理，基于RBAC0的基础上，将RBAC1和RBAC2进行了整合

二、ztree

zTree 是一个依靠 jQuery 实现的多功能 “树插件”。优异的性能、灵活的配置、多种功能的组合是 zTree 最大优点

<!DOCTYPE html>
<html>
    <head>
        <meta charset="utf-8">
        <title></title>
        <script type="text/javascript" src="js/jquery-3.2.1.min.js"></script>
        <script type="text/javascript" src="zTree_v3-3.5.28/js/jquery.ztree.all.js"></script>
        <link rel="stylesheet" href="zTree_v3-3.5.28/css/zTreeStyle/zTreeStyle.css" />
    </head>
    <body>
        <h1>树形结构</h1>
        <ul id="myztree" class="ztree"></ul>
    </body>
    <script>
        //ztree的一些设置
        var setting = {
            data: {
                simpleData:{
                    enable: true
                }
            }
        };
 
        var zNodes =[
            {id:1, pId:0, name:"系统权限菜单", open:true},
            {id:2, pId:1, name:"控制面板"},
            {id:3, pId:1, name:"消息管理"},
            {id:4, pId:1, name:"权限管理"},
            {id:5, pId:4, name:"用户管理"},
            {id:6, pId:4, name:"角色维护"},
            {id:7, pId:4, name:"许可维护"},
        ];
        $(function(){
            $.fn.zTree.init($("#myztree"), setting, zNodes);
        })
    </script>
</html>

三、处理重定向

注册完，进入控制面板，刷新后会重新提交表单

要用重定向

重定向的main.jsp在WEB-INF的manager文件夹下

需要写一个处理重定向请求的控制器

package com.atguigu.scw.manager.controller;
 
import javax.servlet.http.HttpSession;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import com.atguigu.scw.manager.constant.Constants;
 
@Controller
public class DispatcherController {
   // 伪静态化效果
    @RequestMapping(value = "/main.html")
    public String toMainPage(HttpSession session) {
        // 校验，只有登陆的用户才可以到main
        // 判断session中是否有这个用户，如果没有去登录页面
        Object object = session.getAttribute(Constants.LOGIN_USER);
        if (object == null) {
            // 用户没登陆
            return "redirect:/login.jsp";
        }else {
            // 用户登陆
            return "manager/main";
        }
 
    }
}

UserController中的return "manager/main";均改为return "redirect:/main.html";

package com.atguigu.scw.manager.controller.permission;
 
import javax.servlet.http.HttpSession;
 
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;
 
import com.atguigu.scw.manager.bean.TUser;
import com.atguigu.scw.manager.constant.Constants;
import com.atguigu.scw.manager.service.UserService;
 
//处理所有/permission/user下的请求
@RequestMapping("/permission/user")
@Controller
public class UserController {
 
    private final String MANAGER_MAIN = "manager/main";
    @Autowired
    UserService userService;
 
    @RequestMapping("/login")
    public String login(TUser user, HttpSession session) {
        // 登陆后返回的用户要放在session中，用TUser
        TUser login = userService.login(user);
        if (login == null) {
            // 登陆失败
            session.setAttribute("errorUser", user);
            session.setAttribute("msg", "登陆失败");
            return "redirect:/login.jsp";
        }
        // 登陆成功
        // 1.将用户放在session中
        session.setAttribute(Constants.LOGIN_USER, login);
        return "redirect:/main.html";
    }
 
    // /permission/user/reg
    @RequestMapping("/reg")
    public String reg(TUser user, Model model, HttpSession session) {
        System.out.println("用户注册..." + user);
        // 1.注册成功后来到控制面板页面
        // 1.注册用户
        boolean flag = userService.register(user);
        if (flag == true) {
            // 1.注册成功，来到控制面板
            // 用户保存的数据在user对象中，id是数据库生成的自增主键
            // 需要修改mybatis的mapper文件，让其使用自动生成的id
            session.setAttribute(Constants.LOGIN_USER, user);
 
            return "redirect:/main.html";
        } else {
            // 2.注册失败
            model.addAttribute("regError", "用户名已经被使用");
            // 3.来到页面要回显user之前输入的内容
            // 4.user先从隐含模型中拿的；只要pojo，确定完值以后会自动放在隐含模型中
            // 用的key是类名首字母小写${tUser.loginacct }
            return "forward:/reg.jsp";
        }
 
    }
}

注册后的网址变化了