SpringBoot 通过自定义注解实现权限检查

水深无声 2022-12-01 15:43 211阅读 0赞

# SpringBoot 通过自定义注解实现权限检查 #

## 前言 ##

最近开发了一个接口，完成后准备自测时，却被拦截器拦截了，提示：`(AUTH-NO)未能获得有效的请求参数！`怎么会这样呢？

于是我全局搜了这个提示语，结果发现它被出现在一个`Aspect`类当中了，并且把一个 `@interface` 作为了一个切点，原来这里利用了`Spring AOP`面向切面的方式进行权限控制。

**SpringBoot通过自定义注解实现日志打印**可参考我的博客：[SpringBoot通过自定义注解实现日志打印][SpringBoot]

## 正文 ##

## Spring AOP ##

**Spring AOP** 即面向切面，是对`OOP`面向对象的一种延伸。  
`AOP`机制可以让开发者把业务流程中的通用功能抽取出来，单独编写功能代码。在业务流程执行过程中，`Spring`框架会根据业务流程要求，自动把独立编写的功能代码切入到流程的合适位置。

我们通过`AOP`机制可以实现：`Authentication` 权限检查、`Caching` 缓存、`Context passing` 内容传递、`Error handling` 错误处理、日志打印等功能，这里我们讲一下怎么用`Spring AOP`来实现权限检查。

## SpringBoot 通过自定义注解实现权限检查 ##

**Maven依赖**

<dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <version>1.18.2</version>
        <optional>true</optional>
    </dependency>
    
    
    <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-aop</artifactId>
    </dependency>

**MyPermissionTag.class自定义注解**

*  `@Retention`: 用来修饰注解，是注解的注解，称为元注解。
 *  `@Target`:用来说明对象的作用范围

/** * 用户请求权限校验 */
    @Retention(RetentionPolicy.RUNTIME)
    @Target(ElementType.METHOD)
    public @interface MyPermissionTag { 
        String value() default "";
        String name() default "";
    }

这里特别讲一下`@Retention`，按生命周期来划分可分为3类：

*  **RetentionPolicy.SOURCE**：注解只保留在源文件，当`Java`文件编译成`class`文件的时候，注解被遗弃（运行时去动态获取注解信息）；
 *  **RetentionPolicy.CLASS**：注解被保留到`class`文件，但`jvm`加载`class`文件时候被遗弃，这是默认的生命周期（在编译时进行一些预处理操作）；
 *  **RetentionPolicy.RUNTIME**：注解不仅被保存到`class`文件中，`jvm`加载`class`文件之后，仍然存在（做一些检查性的操作）；

这3个生命周期分别对应于：`Java`源文件(`.java`文件) —> `.class`文件 —> 内存中的字节码。

## AuthInterceptor 权限检查的切面 ##

这里简单介绍一下，切面的执行方法和其执行顺序：

*  `@Around` 通知方法将目标方法封装起来
 *  `@Before` 通知方法会在目标方法调用之前执行
 *  `@After` 通知方法会在目标方法返回或者异常后执行
 *  `@AfterReturning` 通知方法会在目标方法返回时执行
 *  `@Afterthrowing` 通知方法会在目标方法抛出异常时执行

这里以一个返回正常的情况为例：（异常替换最后一步即可）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center]

**AuthInterceptor.class**

*  注意要在启动类扫描这个`class`，并且添加 `@EnableAspectJAutoProxy(proxyTargetClass = true)`

@Slf4j
    @Aspect
    @Component
    public class AuthInterceptor { 
    
    
        /** * 参数处理 * * @param point */
        @Before("@annotation(com.luo.common.tag.MyPermissionTag)")
        public void beforeProReq(JoinPoint point) { 
            log.info("前置拦截-开始");
            Request req = getOperationRequest(point.getArgs());
            if (req != null) { 
                //解密帐号
                log.info("前置拦截-开始解密ACCOUNT:{}", req.getAccount());
    
    
                log.info("前置拦截-结束解密ACCOUNT:{}", req.getAccount());
            }
            log.info("前置拦截-结束");
        }
    
    
        @Around("@annotation(com.luo.common.tag.MyPermissionTag)")
        public Object authCheck(ProceedingJoinPoint pjp) throws Throwable { 
            log.info("权限拦截-开始");
            //请求方法
            ReqMethod reqMethod = getPermissionTag(pjp);
    
    
            MyPermissionTag myPermissionTag =reqMethod.perTag;
            log.info(myPermissionTag.value()); //获取配置的值
            log.info("权限拦截-开始-拦截到方法:{}", reqMethod.getMethodName());
    
    
            if("true".equals(myPermissionTag.value().toString())){ 
                //错误返回
                Response notGoRes = new Response();
                Request req = getOperationRequest(pjp.getArgs());
                // 校验请求对象
                if (req == null) { 
                    notGoRes.setErrorMsg("(AUTH)未能获得有效的请求参数！");
                    log.info("(AUTH-NO)未能获得有效的请求参数！");
                    return notGoRes;
                }else { //可以在这里根据请求参数对请求做进一步校验
                    log.info("完成请求校验:"+req);
                }
            }else { 
                log.info("未开启权限校验");
            }
            return pjp.proceed();
        }
        /** * 获取 request 接口中的请求参数 * @param args * @return */
        private Request getOperationRequest(Object[] args) { 
            if (args == null || args.length <= 0) { 
                log.error("AUTH权限验证：拦截方法的请求参数为空！");
                return null;
            }
            Object obj = args[0];
            if (obj instanceof Request) { 
                log.info("AUTH权限验证：请求对象为正确的OperationRequest对象");
                return (Request) obj;
            }
            return null;
        }
        /** * 获取拦截的资源标签 * 这里可以获取方法名+注解信息(包括 key+value 等) * @param pjp * @return * @throws SecurityException * @throws NoSuchMethodException */
        private ReqMethod getPermissionTag(ProceedingJoinPoint pjp) throws NoSuchMethodException, SecurityException { 
            Signature signature = pjp.getSignature();
            MethodSignature methodSignature = (MethodSignature) signature;
            Method targetMethod = methodSignature.getMethod();
            Method realMethod = pjp.getTarget().getClass().getDeclaredMethod(signature.getName(), targetMethod.getParameterTypes());
            MyPermissionTag permissionTag = realMethod.getAnnotation(MyPermissionTag.class);
            return new ReqMethod(permissionTag, realMethod.getName());
        }
    
    
        @Setter
        @Getter
        class ReqMethod { 
            private MyPermissionTag perTag;
            private String methodName;
            public ReqMethod(MyPermissionTag perTag, String methodName) { 
                this.perTag = perTag;
                this.methodName = methodName;
            }
        }
    }

## 验证 ##

**测试接口**

@PostMapping("/helloluo")
    @MyPermissionTag(value = "true")
    public String helloluo(UserPojoReq userPojoReq){ 
        return "Hello World";
    }

**发送请求**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center 1]

**验证**

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center 2]

## 源码 ##

项目源码可从的我的`github`中获取：[github源码地址][github]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center 3]

[SpringBoot]: https://xiyuan.blog.csdn.net/article/details/109039266
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/25415ae22ef14a45831f7271674a9889.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/cf4dde72d5fa45aab707e6dd497a819d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221123/459f17aaaa2942e1babb26ed56856aa9.png
[github]: https://github.com/luo948521848/xiyuan-for-dubbo
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MDk5MDgxOA_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221123/3ba77b0b52b54bee965f1ef7a7943a6f.png