SSH物流开发系统设计:权限认证实现

r囧r小猫 2022-06-14 03:29 144阅读 0赞

## 一、权限认证框架Shiro ##

系统提供了很多功能，并不是所有的用户登录系统都可以操作这些功能。我们需要对用户的访问进行控制。  
认证：系统提供的用于识别用户身份的功能（通常是登录功能）—–让系统知道你是谁？？  
授权：系统提供的赋予用户访问某个功能的能力—–让系统知道你能做什么？？  
这里使用Shiro来进行权限认证，关于Shiro的介绍和使用请参考这里。[点我][Link 1]

## 二、将shiro应用到bos项目 ##

第一步：导入shiro-all.jar  
第二步：在web.xml中配置一个spring用于整合shiro的过滤器

<filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
      </filter>
      <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
      </filter-mapping>

第三步：在spring配置文件中配置一个bean，id必须和上面的过滤器名称相同

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            
            <property name="securityManager" ref="securityManager"></property>
            
            <property name="loginUrl" value="/login.jsp"/>
            
            <property name="successUrl" value="/index.jsp"/>
            
            <property name="unauthorizedUrl" value="/unauthorizedUrl.jsp"/>
            
            <property name="filterChainDefinitions">
                <value>
                    /css/** = anon
                    /images/** = anon
                    /js/** = anon
                    /login.jsp* = anon
                    /validatecode.jsp* = anon
                    /userAction_login.action = anon
                    /page_base_staff.action = perms["staff"]
                    /* = authc
                </value>
            </property>
        </bean>

第四步：在spring配置文件中注册安全管理器，为安全管理器注入realm

<bean id="bosRealm" class="com.crm.bos.shiro.BOSRealm"></bean>
    
        <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            
            <property name="realm" ref="bosRealm"/>
        </bean>

第五步：自定义一个BOSRealm

public class BOSRealm extends AuthorizingRealm {
        
        @Resource
        private IUserDao userDao;
        /**
         * 认证方法
         */
        protected AuthenticationInfo doGetAuthenticationInfo(
                AuthenticationToken token) throws AuthenticationException {
            System.out.println("认证方法。。。");
            UsernamePasswordToken upToken = (UsernamePasswordToken) token;
            String username = upToken.getUsername();// 从令牌中获得用户名
    
            User user = userDao.findUserByUsername(username);
            if (user == null) {
                // 用户名不存在
                return null;
            } else {
                // 用户名存在
                String password = user.getPassword();// 获得数据库中存储的密码
                // 创建简单认证信息对象
                /***
                 * 参数一：签名，程序可以在任意位置获取当前放入的对象
                 * 参数二：从数据库中查询出的密码
                 * 参数三：当前realm的名称
                 */
                SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,
                        password, this.getClass().getSimpleName());
                return info;//返回给安全管理器，由安全管理器负责比对数据库中查询出的密码和页面提交的密码
            }
        }
        /**
         * 授权方法
         */
        protected AuthorizationInfo doGetAuthorizationInfo(
                PrincipalCollection principals) {
            return null;
        }
    }

第六步：完善UserAction的login方法

public String login(){
            //生成的验证码
            String key = (String) ServletActionContext.getRequest().getSession().getAttribute("key");
            //判断用户输入的验证码是否正确
            if(StringUtils.isNotBlank(checkcode) && checkcode.equals(key)){
                //验证码正确
                //获得当前用户对象
                Subject subject = SecurityUtils.getSubject();//状态为“未认证”
                String password = model.getPassword();
                password = MD5Utils.md5(password);
                //构造一个用户名密码令牌
                AuthenticationToken token = new UsernamePasswordToken(model.getUsername(), password);
                try{
                    subject.login(token);
                }catch (UnknownAccountException e) {
                    e.printStackTrace();
                    //设置错误信息
                    this.addActionError(this.getText("usernamenotfound"));
                    return "login";
                }catch (Exception e) {
                    e.printStackTrace();
                    //设置错误信息
                    this.addActionError(this.getText("loginError"));
                    return "login";
                }
                //获取认证信息对象中存储的User对象
                User user = (User) subject.getPrincipal();
                ServletActionContext.getRequest().getSession().setAttribute("loginUser", user);
                return "home";
            }else{
                //验证码错误,设置错误提示信息，跳转到登录页面
                this.addActionError(this.getText("validateCodeError"));
                return "login";
            }
        }

第七步：在自定义Realm中编写授权方法

/**
         * 授权方法
         */
        protected AuthorizationInfo doGetAuthorizationInfo(
                PrincipalCollection principals) {
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            //根据当前登录用户查询其对应的权限，授权
            User user = (User) principals.getPrimaryPrincipal();
            List<Function> list = null;
            if(user.getUsername().equals("admin")){
                //当前用户是超级管理员，查询所有权限，为用户授权
                list = functionDao.findAll();
            }else{
                //普通用户，根据用户id查询对应的权限
                list = functionDao.findListByUserid(user.getId());
            }
            for (Function function : list) {
                info.addStringPermission(function.getCode());
            }
            return info;
        }

## 三、shiro提供的权限控制方式 ##

1、URL拦截权限控制

<property name="filterChainDefinitions">
                <value>
                    /css/** = anon
                    /images/** = anon
                    /js/** = anon
                    /login.jsp* = anon
                    /validatecode.jsp* = anon
                    /userAction_login.action = anon
                    /page_base_staff.action = perms["staff"]
                    /* = authc
                </value>
            </property>

2、方法注解权限控制  
第一步：在spring配置文件中开启shiro的注解支持

<bean id="defaultAdvisorAutoProxyCreator" 
            class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
            
            <property name="proxyTargetClass" value="true"></property>
        </bean>
        
        <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"/>

第二步：在Action的方法上使用shiro的注解描述执行当前方法需要具有的权限。

/**
         * 批量删除功能（逻辑删除）
         * @return
         */
        @RequiresPermissions(value="staff")//执行当前方法需要具有staff权限
        @RequiresRoles(value="abc")
        public String delete(){
            staffService.deleteBatch(ids);
            return "list";
        }

第三步：修改BaseAction的构造方法，判断是否为代理对象。

public BaseAction() {
            ParameterizedType genericSuperclass = null;
    
            if(this.getClass().getGenericSuperclass() instanceof ParameterizedType){
                genericSuperclass = (ParameterizedType) this
                .getClass().getGenericSuperclass();
            }else{
       //当前为Action创建了代理
                genericSuperclass = (ParameterizedType) this.getClass().getSuperclass().getGenericSuperclass();
            }

第四步：在struts.xml中配置全局异常捕获，统一跳转到权限不足的页面

<global-exception-mappings>
                <exception-mapping result="unauthorizedUrl"
                    exception="org.apache.shiro.authz.AuthorizationException"></exception-mapping>
            </global-exception-mappings>

## 四、实现权限认证 ##

### 初始化权限数据 ###

执行sql脚本文件初始化权限数据：

INSERT INTO `auth_function` VALUES ('11', '基础档案', 'jichudangan', null, null, '1', '0', null);
    INSERT INTO `auth_function` VALUES ('112', '收派标准', 'standard', null, 'page_base_standard.action', '1', '1', '11');
    INSERT INTO `auth_function` VALUES ('113', '取派员设置', 'staff', null, 'page_base_staff.action', '1', '2', '11');
    INSERT INTO `auth_function` VALUES ('114', '区域设置', 'region', null, 'page_base_region.action', '1', '3', '11');
    INSERT INTO `auth_function` VALUES ('115', '管理分区', 'subarea', null, 'page_base_subarea.action', '1', '4', '11');
    INSERT INTO `auth_function` VALUES ('116', '管理定区/调度排班', 'decidedzone', null, 'page_base_decidedzone.action', '1', '5', '11');
    INSERT INTO `auth_function` VALUES ('12', '受理', 'shouli', null, null, '1', '1', null);
    INSERT INTO `auth_function` VALUES ('121', '业务受理', 'noticebill', null, 'page_qupai_noticebill_add.action', '1', '0', '12');
    INSERT INTO `auth_function` VALUES ('122', '工作单快速录入', 'quickworkordermanage', null, 'page_qupai_quickworkorder.action', '1', '1', '12');
    INSERT INTO `auth_function` VALUES ('124', '工作单导入', 'workordermanageimport', null, 'page_qupai_workorderimport.action', '1', '3', '12');
    INSERT INTO `auth_function` VALUES ('13', '调度', 'diaodu', null, null, '1', '2', null);
    INSERT INTO `auth_function` VALUES ('131', '查台转单', 'changestaff', null, null, '1', '0', '13');
    INSERT INTO `auth_function` VALUES ('132', '人工调度', 'personalassign', null, 'page_qupai_diaodu.action', '1', '1', '13');
    INSERT INTO `auth_function` VALUES ('14', '物流配送流程管理', 'zhongzhuan', null, null, '1', '3', null);
    INSERT INTO `auth_function` VALUES ('141', '启动配送流程', 'start', null, 'workOrderManageAction_list.action', '1', '0', '14');
    INSERT INTO `auth_function` VALUES ('142', '查看个人任务', 'personaltask', null, 'taskAction_findPersonalTask.action', '1', '1', '14');
    INSERT INTO `auth_function` VALUES ('143', '查看我的组任务', 'grouptask', null, 'taskAction_findGroupTask.action', '1', '2', '14');

### 权限分页查询 ###

第一步：修改页面中datagrid的URL地址，访问FunctionAction的pageQuery的分页查询方法。

pageList: [10,20,30],
                pagination : true,
                url : '${pageContext.request.contextPath}/functionAction_pageQuery.action',
                columns : [[
                  {
                      field : 'id',
                      title : '编号',
                      width : 200
                  },
                  {
                      field : 'name',
                      title : '名称',
                      width : 200
                  },  
                  {
                      field : 'description',
                      title : '描述',
                      width : 50
                  },  
                  {
                      field : 'generatemenu',
                      title : '是否生成菜单',
                      width : 200,
                      formatter:function(data){
        
                          if(data == '1'){
                              return "是";
                          }else{
                              return "否";
                          }
                      }
                  },  
                  {
                      field : 'zindex',
                      title : '优先级',
                      width : 200
                  },  
                  {
                      field : 'page',
                      title : '路径',
                      width : 200
                  }
                ]]

第二步：创建FunctionAction

@Controller
    @Scope("prototype")
    public class FunctionAction extends BaseAction<Function> {
        
    
        public String pageQuery() {
            pageBean.setCurrentPage(Integer.parseInt(model.getPage()));//赋给分页数据，否则这个page参数会赋给Function中的page属性
            functionService.pageQuery(pageBean);
            String[] excludes = new String[] { "function", "functions", "roles", "detachedCriteria"};
            this.writePageBean2Json(pageBean, excludes);
            return NONE;
        }

第三步：配置struts.xml

<action name="functionAction_*" class="functionAction" method="{1}">
                <result name="list">/WEB-INF/pages/admin/function.jsp</result>
            </action>

### 权限添加功能 ###

第一步：修改添加页面中的combobox的URL地址，查询所有的权限，展示到下拉框中

<form id="functionForm" method="post" action="${pageContext.request.contextPath }/functionAction_add.action">
                    <table class="table-edit" width="80%" align="center">
                        <tr class="title">
                            <td colspan="2">功能权限信息</td>
                        </tr>
                        <tr>
                            <td width="200">权限关键字</td>
                            <td>
                                <input type="text" name="code" class="easyui-validatebox" data-options="required:true" />                       
                            </td>
                        </tr>
                        <tr>
                            <td>名称</td>
                            <td><input type="text" name="name" class="easyui-validatebox" data-options="required:true" /></td>
                        </tr>
                        <tr>
                            <td>访问路径</td>
                            <td><input type="text" name="page"  /></td>
                        </tr>
                        <tr>
                            <td>是否生成菜单</td>
                            <td>
                                <select name="generatemenu" class="easyui-combobox">
                                    <option value="0">不生成</option>
                                    <option value="1">生成</option>
                                </select>
                            </td>
                        </tr>
                        <tr>
                            <td>优先级</td>
                            <td>
                                <input type="text" name="zindex" class="easyui-numberbox" data-options="required:true" />
                            </td>
                        </tr>
                        <tr>
                            <td>父功能点</td>
                            <td>
                                <input name="function.id" class="easyui-combobox" data-options="valueField:'id',textField:'name',
                                url:'${pageContext.request.contextPath }/functionAction_listajax.action'"/>
                            </td>
                        </tr>
                        <tr>
                            <td>描述</td>
                            <td>
                                <textarea name="description" rows="4" cols="60"></textarea>
                            </td>
                        </tr>
                        </table>
                </form>

第二步：在FunctionAction中提供listajax方法

public String listajax() throws IOException{
            List<Function> list=functionService.findAll();
            String[] excludes=new String[]{
       "function", "functions", "roles"};
            this.writeList2Json(list, excludes);
            return NONE;
        }

第三步：为保存按钮绑定事件提交表单

第四步：在Action中提供add方法，保存一个权限数据

public String add(){
            functionService.save(model);
            return "list";
        }

Service代码：

public void save(Function model) {
        
            //需要判断传过来的pid是否是空串，若为空串则将其赋值为null，否则无法插入mysql中
            Function parent = model.getFunction();
            if(parent!=null && parent.getId()!=null&&parent.getId().equals("")){
                model.setFunction(null);
            }
            functionDao.save(model);
        }

### 角色管理（关联权限） ###

1、 添加角色（为角色授权）

1.1. 授权树的编写  
显示授权树，根据auth\_function 表查询，返回json数据

服务器返回 ztree节点数据，应该包含 id、name、parentId !  
在FunctionAction 添加treedata的方法

在Function 实体类 添加getParentId 方法

public String getpId() {
       //注意getpId中的“p”是小写，因为“I”是大写
            if(function != null){
        
                return function.getId();
            }else{
                return "0";
            }
        }

1.2. 提交添加角色表单

// 点击保存
            $('#save').click(function(){
        
                var v = $("#roleForm").form("validate");
                if(v){
                    var treeObj = $.fn.zTree.getZTreeObj("functionTree");//获得页面中的ztree对象
                    var nodes = treeObj.getCheckedNodes(true);//在提交表单之前将选中的checkbox收集
                    var array = new Array();
                    for(var i=0;i<nodes.length;i++){
                        var id = nodes[i].id;//权限id
                        array.push(id);
                    }
                    var ids = array.join(",");//1,2,3,4,5
                    $("input[name=ids]").val(ids);
                    //alert();
                    $("#roleForm").submit();
                }
            });

编写服务器 RoleAction

@Controller
    @Scope("prototype")
    public class RoleAction extends BaseAction<Role>{
        
    
        private String ids;//用来接受权限的id值
        public String add(){
            roleService.save(model,ids);
            return "list";
        }
        public void setIds(String ids) {
            this.ids = ids;
        }

将DAO 注入 BaseService  
将Service 注入BaseAction  
添加角色业务代码service层：

public void save(Role model, String ids) {
            roleDao.save(model);//变为持久对象
    
            Group group=new GroupEntity(model.getName());
            identityService.saveGroup(group);//将角色数据同步到actitviti的数据表中
    
            String[] functionIds = ids.split(",");
            for (String fid : functionIds) {
                Function function=new Function();
                function.setId(fid);//托管状态,建立关联时必须是持久类关联托管类
                model.getFunctions().add(function);//角色和权限建立关联
            }
        }

配置跳转

<action name="roleAction_*" class="roleAction" method="{1}">
                <result name="list">/WEB-INF/pages/admin/role.jsp</result>
            </action>

4.2. 角色列表查询  
/WEB-INF/pages/admin/role.jsp 修改 datagrid 的url

pageList: [10,20,30],
                pagination : true,
                url : '${pageContext.request.contextPath}/roleAction_pageQuery.action',
                columns : [[
                    {
                        field : 'id',
                        title : '编号',
                        width : 230
                    },
                    {
                        field : 'name',
                        title : '名称',
                        width : 200
                    }, 
                    {
                        field : 'description',
                        title : '描述',
                        width : 200
                    } 
                ]]

在服务器 RoleAction 添加方法

public String pageQuery(){
            roleService.pageQuery(pageBean);
            String[] excludes=new String[]{
       "functions","users"};
            this.writePageBean2Json(pageBean, excludes);
            return NONE;
        }

### 用户管理（关联角色） ###

1、 添加用户  
pojo类

package com.crm.bos.domain;
    
    import java.text.SimpleDateFormat;
    import java.util.Date;
    import java.util.HashSet;
    import java.util.Set;
    
    /**
     * User entity. @author MyEclipse Persistence Tools
     */
    
    public class User implements java.io.Serializable {
        
    
        // Fields
    
        private String id;
        private String username;
        private String password;
        private Double salary;
        private Date birthday;
        private String gender;// 1表示男，2表示女
        private String station;
        private String telephone;
        private String remark;
        private Set<Noticebill> noticebills = new HashSet<Noticebill>();
        private Set<Role> roles = new HashSet<Role>();
    
        public String getFormateBirthday() {
            if (birthday != null) {
                return new SimpleDateFormat("yyyy-MM-dd").format(birthday);
            } else {
                return "未提交生日";
            }
        }
    
        public String getRoleNames() {
            String names = "";
            if (roles != null && roles.size() > 0) {
                for (Role role : roles) {
                    names += role.getName() + " ";
                }
            }
            return names;
        }
    
        // Constructors
    
        /** default constructor */
        public User() {
        }
    
        /** minimal constructor */
        public User(String id, String username, String password) {
            this.id = id;
            this.username = username;
            this.password = password;
        }
    
        /** full constructor */
        public User(String id, String username, String password, Double salary,
                Date birthday, String gender, String station, String telephone,
                String remark) {
            this.id = id;
            this.username = username;
            this.password = password;
            this.salary = salary;
            this.birthday = birthday;
            this.gender = gender;
            this.station = station;
            this.telephone = telephone;
            this.remark = remark;
        }
    
        // Property accessors
    
        public String getId() {
            return this.id;
        }
    
        public void setId(String id) {
            this.id = id;
        }
    
        public String getUsername() {
            return this.username;
        }
    
        public void setUsername(String username) {
            this.username = username;
        }
    
        public String getPassword() {
            return this.password;
        }
    
        public void setPassword(String password) {
            this.password = password;
        }
    
        public Double getSalary() {
            return this.salary;
        }
    
        public void setSalary(Double salary) {
            this.salary = salary;
        }
    
        public Date getBirthday() {
            return this.birthday;
        }
    
        public void setBirthday(Date birthday) {
            this.birthday = birthday;
        }
    
        public String getGender() {
            return this.gender;
        }
    
        public void setGender(String gender) {
            this.gender = gender;
        }
    
        public String getStation() {
            return this.station;
        }
    
        public void setStation(String station) {
            this.station = station;
        }
    
        public String getTelephone() {
            return this.telephone;
        }
    
        public void setTelephone(String telephone) {
            this.telephone = telephone;
        }
    
        public String getRemark() {
            return this.remark;
        }
    
        public void setRemark(String remark) {
            this.remark = remark;
        }
    
        public Set<Noticebill> getNoticebills() {
            return noticebills;
        }
    
        public void setNoticebills(Set<Noticebill> noticebills) {
            this.noticebills = noticebills;
        }
    
        public Set<Role> getRoles() {
            return roles;
        }
    
        public void setRoles(Set<Role> roles) {
            this.roles = roles;
        }
    
    }

修改 /WEB-INF/pages/admin/userinfo.jsp

<form id="form" method="post" action="${pageContext.request.contextPath}/userAction_add.action">
               <table class="table-edit"  width="95%" align="center">
                    <tr class="title"><td colspan="4">基本信息</td></tr>
                    <tr><td>用户名:</td><td><input type="text" name="username" id="username" class="easyui-validatebox" required="true" /></td>
                        <td>口令:</td><td><input type="password" name="password" id="password" class="easyui-validatebox" required="true" validType="minLength[5]" /></td></tr>
                    <tr class="title"><td colspan="4">其他信息</td></tr>
                    <tr><td>工资:</td><td><input type="text" name="salary" id="salary" class="easyui-numberbox" /></td>
                        <td>生日:</td><td><input type="text" name="birthday" id="birthday" class="easyui-datebox" /></td></tr>
                    <tr><td>性别:</td><td>
                        <select name="gender" id="gender" class="easyui-combobox" style="width: 150px;">
                            <option value="1">男</option>
                            <option value="2">女</option>
                        </select>
                    </td>
                        <td>单位:</td><td>
                        <select name="station" id="station" class="easyui-combobox" style="width: 150px;">
                            <option value="">请选择</option>
                            <option value="总公司">总公司</option>
                            <option value="分公司">分公司</option>
                            <option value="厅点">厅点</option>
                            <option value="基地运转中心">基地运转中心</option>
                            <option value="营业所">营业所</option>
                        </select>
                    </td></tr>
                    <tr>
                        <td>联系电话</td>
                        <td colspan="3">
                            <input type="text" name="telephone" id="telephone" class="easyui-validatebox" required="true" />
                        </td>
                    </tr>
                    <tr><td>备注:</td><td colspan="3"><textarea style="width:80%"></textarea></td></tr>
                    <tr><td>选择角色:</td>
                        <td colspan="3" id="roleTD">
                            <script type="text/javascript">
                                $(function(){
         
                                    //发送ajax请求，获取所有的角色数据，返回json，在页面中动态构造到checkbox中
                                    var url = "${pageContext.request.contextPath}/roleAction_listajax.action";
                                    $.post(url,{},function(data){
         
                                        //解析json数据，构造checkbox
                                        for(var i=0;i<data.length;i++){
                                            var id = data[i].id;
                                            var name = data[i].name;
                                            $("#roleTD").append('<input type="checkbox" value="'+id+'" name="roleIds">'+name);
                                        }
                                    });
                                });
                            </script>
    
                        </td>
                   </tr>
               </table>
           </form>

在RoleAction 添加 listajax 方法

public String listajax() throws IOException{
            List<Role> list=roleService.findAll();
            String[] excludes=new String[]{
       "functions","users"};
            this.writeList2Json(list, excludes);
            return NONE;
        }

点击 保存按钮提交form表单

在 UserAction 添加 save 方法

private String[] roleIds;//接受页面提交过来的参数
    
        public String add(){
            userService.save(model,roleIds);
            return "list";
        }

service层代码：

public void save(User model, String[] roleIds) {
            String password = model.getPassword();
            password= MD5Utils.md5(password);//md5加密
            model.setPassword(password);//设置加密后的密码
            userDao.save(model);
    
            for (String roleId : roleIds) {
                Role role=roleDao.findById(roleId);
                model.getRoles().add(role);
                identityService.createMembership(actUser.getId(), role.getName());//关联角色信息
            }
    
        }

2、 用户列表查询

/WEB-INF/pages/admin/userlist.jsp  
修改 datagrid 的 url

$(function(){
        
            // 初始化 datagrid
            // 创建grid
            $('#grid').datagrid( {
                iconCls : 'icon-forward',
                fit : true,
                border : false,
                rownumbers : true,
                striped : true,
                toolbar : toolbar,
                url : "${pageContext.request.contextPath}/userAction_pageQuery.action",
                pageList: [3,5,10],
                pagination : true,
                idField : 'id', 
                frozenColumns : frozenColumns,
                columns : columns,
                onClickRow : onClickRow,
                onDblClickRow : doDblClickRow
            });
    
            $("body").css({visibility:"visible"});
    
        });

在服务器 UserAction 提供查询方法

public String pageQuery() throws IOException{
            userService.pageQuery(pageBean);
            String[] excludes=new String[]{
       "noticebills","roles"};
            this.writePageBean2Json(pageBean, excludes);
            return NONE;
        }

## 五、源码[点我][Link 2] ##

[Link 1]: http://blog.csdn.net/xiaokang123456kao/article/details/72910806
[Link 2]: https://github.com/xiaokangjack/SSH_Logistics