基于session设计一个RBAC项目

短命女 2023-09-25 20:34 48阅读 0赞

RBAC模型（Role-Based Access Control：基于角色的访问控制）是早期要提出的基于用户而实现权限控制的一个理论，目前大部分的框架也都是基于RBAC的理论去实现权限的控制；

上篇文章我们使用springsecurity 实现了我们web项目的登录认证和权限管理，本篇文章我们就自己去大家一个简单的权限管理的RBAC项目；

首先我们需要知道实现权限管理，我们大致需要哪些类；

1.用户实体类（里边添加用户名，以及用户密码）；

2.角色实体类（里边添加，角色id和角色名 字段）；

3.资源实体类（里边有资源id,资源类型，资源名称字段）；

然后我们需要理清实体类之间的关系；首先，一个用户会拥有自己的角色，比如说 王强 用户在公司任职 CEO CEO就是一个角色；然后每个用户下边有自己的工作经理，任职部门，出生年月，姓名等等，这些成为该用户的资源info,当然有的用户角色不止一个，所以该用户的资源根据角色的不同也会不相同，因此角色下边也会有资源；

这样我们就可以设计我们的实体类了；

资源实体类下边是不包含其他的类的，所以我们先设计资源实体类：

ResourcesBean 资源实体类：

//资源实体类
    public class ResourcesBean {
        private String resourceId;
        private String resourceType;
        private String resourceName;
    //下边写set get construtor 方法；

接下来是roleBean 角色实体类：但是我们的角色下边是有资源的，因此要与资源实体类有关联，这边我们使用list集合把资源注入到我们的角色实体类当中：

/*
    * 角色实体类
    * */
    public class RoleBean {
    private  String roleId;
    private String roleName;
    private List<ResourcesBean> resources;//给角色注入资源（userinfo）；
    //下边为set  get construtor 方法

接下来就是我们的用户实体类 UserBean: 用户实体类既要与我们的角色实体类关联，也要与我们的资源实体类关联；同样我们也使用 list集合注入 rolelist 和 resourceslist;

/*
    * 用户实体类
    * */
    public class UserBean {
        private String userId;
        private String userName;
        private String userPass;
        private List<RoleBean> userRoles = new ArrayList<>();
        private List<ResourcesBean> resourceBeans = new ArrayList<>();

这样我们的一个权限认证的实体类就设计完成了

接下来我们需要给我们的实体类添加上数据，并加上关系（项目之中都是需要连接数据库去查询 用户名，账号，角色，资源），在这里我们直接赋值来模拟数据库查询；

创建TestData :

package com.example.demo.entity;
    
    import com.example.demo.bean.ResourcesBean;
    import com.example.demo.bean.RoleBean;
    import com.example.demo.bean.UserBean;
    import org.springframework.stereotype.Component;
    
    import java.util.ArrayList;
    import java.util.List;
    import java.util.stream.Collectors;
    
    @Component
    public class TestData {
        private List<UserBean> allUser;
        /**
         * 模拟数据库获取到的数据。
         * admin用户 拥有admin角色，拥有mobile和salary两个资源。
         * mobile用户，拥有mobile角色，拥有mobile资源。
         * worker用户，拥有worker角色，没有资源。
         * @return
         */
    private  List<UserBean> getAllUser(){
    //    如果该用户不为空,
        if (null ==allUser){
            allUser =new ArrayList<>();
            //资源添加mobile 和salary 资源
            ResourcesBean mobileResource=new ResourcesBean("1","mobile");
            ResourcesBean salaryResource=new ResourcesBean("2","salary");
            List<ResourcesBean> adminResource=new ArrayList<>();
    //        将mobile salary资源存入到我们的资源集合adminResource当中
            adminResource.add(salaryResource);
            adminResource.add(mobileResource);
    //        只将mobile资源存入到我们的资源集合 managerResources
            List<ResourcesBean> managerResources = new ArrayList<>();
            managerResources.add(mobileResource);
    //        admin 有mobile 角色 并且拥有上边 adminResource的两个资源
            RoleBean adminRole = new RoleBean("1","admin");
            adminRole.setResources(adminResource);
    
    //        mobile用户具有 mobile角色,并且具有mobile资源
            RoleBean managerRole = new RoleBean("2","mobile");
            managerRole.setResources(managerResources);
    //work具有work 
            RoleBean workRole = new RoleBean("3","w");
    List<RoleBean> adminRoles=new ArrayList<>();
    adminRoles.add(adminRole);
    List<RoleBean> managerRoles=new ArrayList<>();
    managerRoles.add(managerRole);
    
    
            List<RoleBean> workRoles=new ArrayList<>();
            workRoles.add(workRole);
            UserBean admin = new UserBean("1","admin","admin");
            admin.setUserRoles(adminRoles);
            admin.setResourceBeans(adminResource);
            UserBean mobile = new UserBean("2","manager","manager");
            mobile.setUserRoles(managerRoles);
            mobile.setResourceBeans(managerResources);
            UserBean work = new UserBean("3","worker","worker");
            work.setUserRoles(workRoles);
            allUser.add(admin);
            allUser.add(mobile);
            allUser.add(work);
        }
        return allUser;
    }
    /*
    * 判断用户的账号和密码是否正确
    * */
        public UserBean qeryUser(UserBean user){
            List<UserBean> allUser = this.getAllUser();
    //        将用户集合遍历 判断登录是否正确
            List<UserBean> userList = allUser.stream().filter(userBean ->
                    userBean.getUserName().equals(user.getUserPass())
                            &&
                            userBean.getUserPass().equals(user.getUserPass())
            ).collect(Collectors.toList());
            return userList.size()>0?userList.get(0):null;
        }
    
    
    
    }

接下来就是创建我们的拦截器，所有访问的接口都要跳转到 登录页面 进行登录，获取会话session;

首先先创建我们的路由枚举常量，方便后边的代码编写；

package com.example.demo.constants;
    
    public class MyConstants {
    //    设置 枚举常量
        public static final String FLAG_CURRENTUSER = "currentUser";
        public static final String RESOURCE_COMMON = "common";
        public static final String RESOURCE_MOBILE = "mobile";
        public static final String RESOURCE_SALARY = "salary";
    }

拦截器配置：

package com.example.demo.config;
    
    import com.example.demo.bean.UserBean;
    import com.example.demo.constants.MyConstants;
    import com.sun.xml.internal.ws.handler.HandlerException;
    import jakarta.servlet.http.HttpServletRequest;
    import jakarta.servlet.http.HttpServletResponse;
    import org.springframework.stereotype.Component;
    import org.springframework.web.servlet.HandlerInterceptor;
    
    
    @Component
    public class AuthInterceptor implements HandlerInterceptor {
    
    //授权拦截
        @Override
        public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    //        不需要登录 就可以访问的路径
        String requestURI =request.getRequestURI();
    
        if (requestURI.contains(".")|| requestURI.startsWith("/"+ MyConstants.RESOURCE_COMMON+"/")){
            return  true;
    
        }
    //    未登录用户，直接拒绝访问
    //        获取用户的属性 并进行判断是否为空
            if ((null == request.getSession().getAttribute(MyConstants.FLAG_CURRENTUSER))) {
    //如果不为空设置response 的返回使用utf-8的编码样式
                response.setCharacterEncoding("UTF-8");
                /*
                * 返回打印字符串 please login first
                * */
                response.getWriter().write("please login first");
                return  false;
            }else {
                UserBean currentUser =(UserBean) request.getSession().getAttribute(MyConstants.FLAG_CURRENTUSER);
    //            已登录用户，判断是否又资源访问权限
    //            如果用户的请求地址是mobile,而且用户又该接口的访问权限
                if (requestURI.startsWith("/"+MyConstants.RESOURCE_MOBILE+"/")&&currentUser.havaPermission(MyConstants.RESOURCE_MOBILE)){
                    return  true;
    //                如果用户访问的是salary接口 并且该用户具有权限
                }else if (requestURI.startsWith("/"+MyConstants.RESOURCE_SALARY+"/")&& currentUser.havaPermission(MyConstants.RESOURCE_SALARY)){
    
                    return  true;
                }else {
    //                如果用户不具备权限 或者请求地址不对 就返回打印出 no auth to visit;
                    response.setCharacterEncoding("UTF-8");
                    response.getWriter().write("no auth to visit");
                    return  false;
                }
    
            }
    
    
        }
    }

package com.example.demo.config;
    
    import org.springframework.stereotype.Component;
    import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
    import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
    import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
    
    import javax.annotation.Resource;
    /*
    * 配置拦截器和页面跳转
    *
    * */
    @Component
    public class MyWebAppConfigurer  implements WebMvcConfigurer {
        @Resource
        private  AuthInterceptor authInterceptor;
    //配置权限拦截:拦截所有请求
        @Override
        public void addInterceptors(InterceptorRegistry registry) {
            registry.addInterceptor(authInterceptor).addPathPatterns("/**");
    
        }
    //简单配置启动页面 所有页面首先跳转至我们的登录页面
    
        @Override
        public void addViewControllers(ViewControllerRegistry registry) {
            registry.addViewController("/").setViewName("redirect:/index.html");
        }
    
    
    }

配置完拦截器，我们需要配置一下我们的登录接口：

package com.example.demo.controller;
    
    import com.example.demo.bean.UserBean;
    import com.example.demo.constants.MyConstants;
    import com.example.demo.service.AuthService;
    import jakarta.servlet.http.HttpServletRequest;
    import jakarta.servlet.http.HttpSession;
    import org.slf4j.LoggerFactory;
    import org.springframework.web.bind.annotation.PostMapping;
    import org.springframework.web.bind.annotation.RequestMapping;
    import org.springframework.web.bind.annotation.RestController;
    
    import javax.annotation.Resource;
    import java.util.logging.Logger;
    /*
    * 登录页面配置
    * */
    @RestController
    @RequestMapping("/common")
    public class loginController {
        /*
        * 因为是登陆页面 我们设置本类的日志 ->可以向控制台打印日志
        *
        * */
        private  final Logger logger= (Logger) LoggerFactory.getLogger(this.getClass());
    
    @Resource
    private AuthService authService;
        @PostMapping("/login")
        public UserBean login(UserBean loginUser, HttpServletRequest request){
            UserBean user = authService.userLogin(loginUser);
            if(null != user){
                logger.info("user login succeed");
                request.getSession().setAttribute(MyConstants.FLAG_CURRENTUSER,user);
            }
            logger.info("user login failed");
            return user;
        }
    //    获取当前用户
        @PostMapping("/getCurrentUser")
        public Object getCurrentUser(HttpSession session){
            return session.getAttribute(MyConstants.FLAG_CURRENTUSER);
        }
        @PostMapping("/logout")
    //    注销
        public void logout(HttpSession session){
            session.removeAttribute(MyConstants.FLAG_CURRENTUSER);
    
    }
    
    }

接下来是我们的资源接口 mobile 和salary接口;

package com.example.demo.controller;
    
    import org.springframework.web.bind.annotation.GetMapping;
    import org.springframework.web.bind.annotation.RequestMapping;
    import org.springframework.web.bind.annotation.RestController;
    
    @RestController
    @RequestMapping("/mobile")
    public class MobileController {
        @GetMapping ("/query")
        public String query(){
            return  "mobile";
        }
    }

package com.example.demo.controller;
    
    import org.springframework.web.bind.annotation.GetMapping;
    import org.springframework.web.bind.annotation.RequestMapping;
    import org.springframework.web.bind.annotation.RestController;
    
    @RestController
    @RequestMapping("/salary")
    public class SalaryController {
        @GetMapping("/query")
        public  String query(){
            return "salary";
        }
    }

这样呢简单的一套后端RBAC项目后端就编写完成了；我们登录不同的用户会有不同的资源权限！