通用数据权限的设计思路

向右看齐 2023-06-24 12:23 23阅读 0赞

接着上个襄阳项目的需要, 目前的项目情况是，一期已经把功能权限做完了，可以对不同用户的不同权限功能做到限制，现在需要做数据的权限，不同的用户看到不同的数据。

根据目前的调研情况，有两种数据级别权限设计思路，都可以实现对人员访问的数据权限控制，从而实现不同的人员能够看到不同的数据，**例如经理能够看到其部门下所有人的数据，而单个的员工只能看到自己的数据。用户拥有的权限越大，能看到的数据就越多。**

第一种是使用先在网关进行权限的判断，此用户有这个操作的权限，再进行查询，查询时根据参数进行SQL的拼接。网关鉴定是否能访问以及转发请求，对SQL的拼接和处理在各微服务自己内部进行，服务A/B/C都需要自己写需要查询的参数。如下图所示

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70][]

使用此方式存在一些弊端 ，使用SQL拼接的方式不利于统一管理权限，每个项目有自己的过滤方式，拼接SQL的方式，不利于统一管理，也不方便后期可能出现的规则修改，因为已经硬编码到代码中，需要各个服务自己修改一遍。

优点很明显，足够很简单，只需要根据相应的规则调整SQL就可以了。

第二种方式，专门抽离一个权限鉴定的服务，所有到达网关的请求后，网关去调用权限鉴定服务，进行访问的URL的权限判断，如果鉴定成功，则能够访问，网关转到请求到对应的服务，否则网关直接返回，提示用户没有权限访问。数据权限的控制依然需要各个微服务硬编码到各自的项目代码中去。如下图所示

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 1][]

目前没有什么方式能做这种通用的数据级权限控制(因为涉及到各个服务的查询SQL进行过滤，拼接，在这个权限鉴定服务中没法实现这样的功能，对各种不同的查询的SQL进行拼接，过滤)。

这种方式相对于第一种把对接口的访问权限校验抽离出来了，减轻了网关的压力，依然是各个服务自己实现数据查询的控制。

现在的思路是:

新建一个mybatis的插件, 让各个服务都依赖这个(java项目可以继承, 其他的php得服务暂时不考虑), 这个插件的作用就是对

SQL进行过滤, 拼接. 鉴权服务会对配置的数据的权限进行读取, 形成一个SQL, 以传递参数的形式, 返回给网关, 网关转发给其他的微服务, 服务获取到携带的SQL参数, 利用插件对SQL进行拼接, 过滤, 就可以查询出来数据了.进行数据的返回.

下面是目前的一部分代码, 希望能够给各位一些启示:

package co.filter;
    
    import lombok.extern.slf4j.Slf4j;
    import org.apache.ibatis.executor.Executor;
    import org.apache.ibatis.executor.statement.StatementHandler;
    import org.apache.ibatis.mapping.BoundSql;
    import org.apache.ibatis.mapping.MappedStatement;
    import org.apache.ibatis.plugin.*;
    import org.apache.ibatis.session.ResultHandler;
    import org.apache.ibatis.session.RowBounds;
    import org.springframework.stereotype.Component;
    
    import java.util.Properties;
    
    /**
     * @author zhangke
     * @time 2019年12月23日10:10:35
     */
    @Component
    @Slf4j
    @Intercepts({//注意看这个大花括号，也就这说这里可以定义多个@Signature对多个地方拦截，都用这个拦截器
            @Signature(type = Executor.class,//这是指拦截哪个接口
                    method = "query",//这个接口内的哪个方法名，不要拼错了
                    //这是拦截的方法的入参，按顺序写到这，不要多也不要少，如果方法重载，可是要通过方法名和入参来确定唯一的
                    args = {MappedStatement.class, Object.class, RowBounds.class, ResultHandler.class})
    })
    public class AuthorityFilterPlugin implements Interceptor {
    
        /**
         * 这里是每次执行操作的时候，都会进行这个拦截器的方法内
         *
         * @param invocation
         * @return
         * @throws Throwable
         */
        @Override
        public Object intercept(Invocation invocation) throws Throwable {
            //对sql进行处理
            Object[] queryArgs = invocation.getArgs();
            MappedStatement mappedStatement = (MappedStatement) queryArgs[0];
            Object parameter = queryArgs[1];
            BoundSql boundSql = mappedStatement.getBoundSql(parameter);
            // 获取到SQL ，进行调整
            String sql = boundSql.getSql();
            if (!sql.contains("limit")) {
                sql = sql + "limit 1";
            }
            log.info("正在执行的sql是: {}", sql);
            return invocation.proceed();
        }
    
        /**
         * 主要是为了把这个拦截器生成一个代理放到拦截器链中
         */
        @Override
        public Object plugin(Object target) {
            //官方推荐写法
            return Plugin.wrap(target, this);
        }
    
    
        /**
         * 插件初始化的时候调用，也只调用一次，插件配置的属性从这里设置进来
         *
         * @param properties
         */
        @Override
        public void setProperties(Properties properties) {
        }
    
    
    }

下面是过滤的参数的设置.

package com.curefun.authority.filter;
    
    
    import lombok.Data;
    import java.util.List;
    
    /**
     * 过滤器的参数实体类,用于拼接SQL用的
     *
     * question:
     * 1.分页怎么办? mybatis的分页插件之前执行...
     * 2.夺标关联查询怎么办? 别名的设置?
     * 3.这是单独的一个服务,获取到的sql, 可以用拼接url的形式转发给其他服务,其他服务又需要改造,添加mybatis 的插件.
    4.一个查询方法对应的多个sql的时候,拼接哪一个?怎么指定?
     *
     */
    @Data
    public class FilterVO {
    
    
        private String id;
        /**
         * 服务名
         */
        private String serviceName;
        /**
         * 请求的url
         */
        private String requestUrl;
        /**
         * 类型 0:不启用   1:启用
         */
        private Integer filterState;
        /**
         * 参数的具体值
         */
        private List<ColumnDataVO> params;
    
    
    }
    
    
    package com.curefun.authority.filter;
    
    import lombok.Data;
    
    
    /**
     * 一个查询的所有要拼接的参数
     */
    @Data
    public class ColumnDataVO<T> {
    
        /**
         * 列名字
         */
        private String columnName;
        /**
         * 列值,String,Number,List,Set,类型,或者Pair的类型
         */
        private T value;
        /**
         * 类型
         */
        private OperationEnum operationEnum;
        /**
         * 参数类型
         */
        private ParamTypeEnum paramEnum;
        /**
         * 排序,从0 开始,数字越小拼接就越靠前,不能为空
         */
        private int orderNum;
    
    
        public ColumnDataVO(String columnName, T value, OperationEnum operationEnum, ParamTypeEnum paramEnum, int orderNum) {
            this.columnName = columnName;
            this.value = value;
            this.operationEnum = operationEnum;
            this.paramEnum = paramEnum;
            this.orderNum = orderNum;
        }
    
        public ColumnDataVO() {
        }
    
    }
    
    
    package com.curefun.authority.filter;
    
    /**
     * 操作类型化的美剧
     */
    public enum OperationEnum {
        EQUAL(1,"=","相等"),
        GT(2,">","大于"),
        LT(3,"<","小于"),
        GTE(4,">=","大于等于"),
        LTE(5,"<=","小于等于"),
        IN(6,"in","包含"),
        BETWEEN(7,"between","介于之间"),
        ;
    
        private int typeCode;
        private String operationSymbol;
        private String message;
    
        OperationEnum(int typeCode, String operationSymbol, String message) {
            this.typeCode = typeCode;
            this.operationSymbol = operationSymbol;
            this.message = message;
        }
    
    
        public int getTypeCode() {
            return typeCode;
        }
    
        public String getOperationSymbol() {
            return operationSymbol;
        }
    
        public String getMessage() {
            return message;
        }
    }
    
    
    
    package com.curefun.authority.filter;
    
    /**
     * 参数类型
     */
    public enum ParamTypeEnum {
    
    
        STRING(1,"字符串"),
        NUMBER(2,"数字"),
        LIST(3,"List"),
        SET(4,"Set"),
        /**
         * HH:mm:ss
         */
        TIME(5,"时间"),
        /**
         * yyyy-MM-dd HH:mm:ss
         */
        DATEtIME(6,"时间"),
        /**
         * 双值,用于between的前后范围
         */
        PAIR(7,"双值"),
        ;
    
        private int type;
        private String message;
    
        ParamTypeEnum(int type, String message) {
            this.type = type;
            this.message = message;
        }
    
        public int getType() {
            return type;
        }
    
        public String getMessage() {
            return message;
        }
    }

**未完成的部分:**

**1.根据FilterVO 做SQL的拼接.**

**2.以上的四个问题,有待于解决,**

**3.mybatis的过滤器中,怎么根据sql进行正确的拼接, 而且需要考虑效率问题.**

**5.系统配置的表设计,我这里没做,我想过一下, 但是没有把表设计出来,其实是个一对多的表设计, 两张表就够了.**

好了, 就写到这里, 之所以不往下写了, 是因为业务暂时没有这方面的需求, 我这个只是属于前期的探索, 这个已经完成的项目, 还有很大的变数, 还未交付. 所以不做了. 好好复习.

这里放一个别人设计的一张表结构:

CREATE TABLE `sys_acl_data` (
      `id` int(11) NOT NULL,
      `acl_id` int(11) NOT NULL COMMENT '对应权限表主键',
      `status` tinyint(4) NOT NULL DEFAULT '1' COMMENT '状态，1：可用，0：不可用',
      `param` varchar(20) NOT NULL DEFAULT '' COMMENT '参数',
      `operation` int(11) NOT NULL DEFAULT '0' COMMENT '操作类型，0；等于，1：大于，2：小于，3：大于等于，4：小于等于，5：包含，6：介于之间，。。。',
      `value1` varchar(100) NOT NULL DEFAULT '0',
      `value2` varchar(100) NOT NULL DEFAULT '0',
      `next_param_op` int(11) NOT NULL DEFAULT '0' COMMENT '后续有参数时连接的关系，0:没有其他参数控制，1：与&&，2：或||',
      `seq` tinyint(4) NOT NULL DEFAULT '0' COMMENT '顺序',
      PRIMARY KEY (`id`),
      KEY `idx_acl_id` (`acl_id`) USING BTREE
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8 COMMENT='数据权限表';

有可取之处, 不过要想在实际生产环境中适用, 还有很多的工作需要做,

如果您觉得写得不多, 可以请作者喝一杯咖啡

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 3][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 4][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 5][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 6][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191223112228726.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191223112224936.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20201218173330245.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20191223114253832.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20191223114337895.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20200102092512224.jpg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20200102092521920.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTAzOTg3NzE=,size_16,color_FFFFFF,t_70