spring aop获取目标对象的方法对象（包括方法上的注解）

偏执的太偏执、 2023-02-28 12:50 1阅读 0赞

这两天在学习权限控制模块。以前看过传智播客黎活明老师的巴巴运动网视频教程，里面就讲到权限控制的解决方案，当时也只是看看视频，没有动手实践，虽说看过几遍，可是对于系统中的权限控制还是很迷茫，所以借着这次机会动手实践一下。

黎活明老师的巴巴运动网使用的框架是struts + spring + jpa,大致思路是使用自定义注解，在需要权限控制的方法前使用注解定义方法所需的权限，然后使用AOP拦截访问的方法，在执行目标对象前通过反射取得目标对象所需的权限，然后从当前session中取得登陆用户，遍历用户所拥有的权限，如果有权限则继续执行目标对象，如果没有权限则跳转到错误提示页面。巴巴运动网使用的struts + spring + jpa应用这种方案是有问题的，大致是spring aop无法拦截通过反射调用的方法，然后黎活明老师通过定制RequestProcessor 解决了这个问题。具体权限实现方案及对这种方案应用到巴巴运动网的缺陷的分析可以参看黎活明老师的巴巴运动网视频教程。

我在实践的过程中采用的是spring mvc + spring + hibernate 的框架，因此使用spring aop拦截是完全可以实现这种权限方案的。因此我在系统中定义了一个切面，申明了切入点及一个环绕通知。

以下是被拦截的方法申明,方法上有做权限控制的注解Permission

@Permission(module="user",operation="select")    
    
    @RequestMapping(value="/detail/{uid}",method=RequestMethod.GET)   
    
     public String detail(@PathVariable int uid,Model model){    
    
     ....    
    
    }

以下是AOP定义

@Pointcut("execution(java.lang.String com.jiangnan.cms.controller..*.*(..))")    
    
    public void controller(){}    
    
    @Around("controller()")    
    
    public Object introcepter(ProceedingJoinPoint pjp) throws Throwable{    
    
        System.out.println("拦截到了" + pjp.getSignature().getName() +"方法...");    
    
    }

测试的时候日志中的确输出了被拦截的方法。可是pjp.getSignature().getName()只是方法的名称，做权限控制需要得到方法上的注解Permission，那么就需要获取目标对象上的Method对象，通过Method对象的getAnnotation(Permission.class)方法获取注解。可是怎么怎么直接获取Method对象而不是方法名称呢？通过pjp.getSignature()方法获取的Signature方法上好像没有直接getMethod()方法，于是去问度娘，得出如下的转换：

Signature signature = pjp.getSignature();    
    
    MethodSignature methodSignature = (MethodSignature)signature;    
    
    Method targetMethod = methodSignature.getMethod();

这下终于满足需求了，于是迅速的写出了权限控制的代码：

public Object introcepter(ProceedingJoinPoint pjp) throws Throwable{    
        System.out.println("拦截到了" + pjp.getSignature().getName() +"方法...");    
        Signature signature = pjp.getSignature();    
        MethodSignature methodSignature = (MethodSignature)signature;    
        Method targetMethod = methodSignature.getMethod();    
            
        //Class clazz = targetMethod.getClass();    
        if(targetMethod.isAnnotationPresent(Permission.class)){    
            //获取方法上注解中表明的权限    
            Permission permission = (Permission)targetMethod.getAnnotation(Permission.class);    
            String module = permission.module();    
            String operation = permission.operation();    
            Privilege privilege = new Privilege(new PrivilegePK(module, operation));    
            //获取当前用户拥有的权限    
            User user = (User)ContextUtils.getHttpSession().getAttribute("employer");    
            if(null != user){    
                System.out.println(user.getUsername());    
            }    
            Set<Role> roles = user.getRoles();    
            for(Role role : roles){    
                if(role.getPrivileges().contains(privilege)){    
                    //如果当前用户拥有的权限包含方法注解上的权限,则执行被拦截到的方法    
                    return pjp.proceed();    
                }    
            }    
            //如果没有权限,抛出异常,由Spring框架捕获,跳转到错误页面    
                throw new PermissionException();    
            }    
            return pjp.proceed();    
        }