easyjweb 用户权限

最新推荐文章于 2021-05-30 18:32:19 发布

原创最新推荐文章于 2021-05-30 18:32:19 发布 · 179 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#WebForm #Bean #Web #Access #HTML

easyjweb 专栏收录该内容

11 篇文章

订阅专栏

当执行AbstractCmdAction:execute过程中，在执行对应的方法前需要执行IActionCommandInterceptor前置拦截器（详见《easyjweb IWebAction介绍》AbstractCmdAction部分）。DefaultPermissionCheck是IActionCommandInterceptor接口的默认实现类，doBefore(method)方法增加了权限检验，doAfter(method)方法为空，需要在bean中配置才能使用。

如果欲执行的method满足以下三条件，则检验改角色对该method得权限，否则doBefore方法返回null

1、有类或接口注解@PermissionVerify且disable为FALSE(默认)

2、有方法注解@RoleVerify

3、property中配置com.easyjweb.permissionVerify为TRUE（默认为FALSE）

检验方法执行权限：

1、从容器中AuthorizationUtil实例，若不存在则检验成功（因为不需要执行检验）

2、若类有@PermissionVerify注解且roles不为空但当前用户不属于指定角色（见AuthorizationUtil），即无执行该方法权限，则检验失败

3、若方法有@RoleVerify注解且roles不为空但当前用户不属于指定角色，则检验失败

4、否则检验成功

验证成功则doBefore方法返回null，继续执行execute余下步骤；

验证失败则在response对象中添加LoginRequired==>true、Unauthorized==>true、Cache-Control==>no-cache；然后查找模块中findPage("PERMISSION_PAGE")，存在则返回该Page，否则返回classpath:com/easyjf/web/exception/permissionError.html

AuthorizationUtil接口是权限判断标签实用工具，有三个方法：

1、getUser():Object,得到用户

2、is(String roleName):boolean,根据名称判断用户角色,从而判断用户是否刻有该权限.roleName可以是单独的名称,大小写可以任意.可以包含空格等.

3、is(String operation, Object obj):boolean,判断一个用户是否对指定的对象有指定的操作权限

该接口不无直接实现类，需要用户自己定义，并需配置成一个bean。

下面是easyjweb角色权限的简单demo代码：

PermissionAction：提供不同用户登录，将用户角色保存在session中，并为不太用角色提供相应服务

@PermissionVerify(disable=false, roles={/*空或者无注解允许所有人或者添加指定角色*/}, value="三种元素均为可选")
public class PermissionAction extends AbstractPageCmdAction {

	// 以不同角色登录，将角色名保存到session中
	public Page login(WebForm form) {
		String role = (String) form.get("role");
		if(role != null) {
			ActionContext.getContext().getSession().setAttribute("role", role);
			return page("method");
		} else 
			return page("index");
	}

	@RoleVerify(roles={"none"})	// role有三种，随便设成none表示拒绝所有角色
	public void doDeny() {
		// 拒绝全部role访问	
	}
	
	@RoleVerify(roles={})	// roles属性为空，或者不添加注解表示允许所有角色
	public void doAccess() {
		// 允许全部role访问
	}
	
	@RoleVerify(roles={"admin"})
	public void doAdminAccess() {
		// 只允许admin访问
	}
	
	@RoleVerify(roles={"admin", "user"})
	public void doDenyGuest() {
		// 拒绝游客访问
	}

	@Override
	public Object doAfter(WebForm form, Module module) {
		// 检验成功后才能达到此处
		return page("access");
	}
	
}

AuthorizationUtil实现类，主要实现is(roleName)方法以检验用户角色

public class AuthorizationUtilImpl implements AuthorizationUtil {

	@Override
	public Object getUser() {
		
		return null;
	}

	@Override
	public boolean is(String roleName) {
		String role = (String) ActionContext.getContext().getSession().getAttribute("role");
		return roleName.equalsIgnoreCase(role);
	}

	@Override
	public boolean is(String operation, Object obj) {
		
		return false;
	}

}

配置文件easyjf-web.xml

<easyjf-web>
	<framework-setting>
		<property name="com.easyjweb.defaultActionPackages">demo.action</property>
	</framework-setting>
	<modules>
		<module name="permission" action="demo.action.PermissionAction" path="/permission">
			<page url="/permission/deny.html" name="PERMISSION_PAGE" type="template"/>
		</module>
	</modules>

	<beans>
		<bean name="authorization" class="demo.permission.AuthorizationUtilImpl" />
		<bean name="permissionCheck" class="com.easyjf.web.core.support.DefaultPermissionCheck" />
	</beans>
</easyjf-web>