利用AOP简单实在的防止系统垂直越权

还是前几篇博客中提到过的项目，接盘过来后一直在重构它。重构的过程中，JIRA就给我发了个警告：

天呐真的是会给我找事情，那就趁着这次重构顺便解决它吧。

一个成熟的系统权限控制都会用角色去控制用户权限，比如admin管理员和operate操作员两个角色，如果系统中某个功能只能管理员使用，但是如果操作员也能使用的话就是垂直越权。

防止垂直越权最简单，但是没什么用的做法就是页面元素分角色权限展示。就拿这个WPP系统中的一个例子，有一个重建索引功能，如下：

这个功能是只能admin用户才能用，最简单的就是当admin用户登录的时候这个按钮就显示，否则其他用户没有权限就隐藏这个按钮，这就是页面元素分角色权限展示，这是防止垂直越权最简单的方法了。但是不好意思没什么用，谁说看不到就操作不了啦？稍微懂一点编程的直接调接口不就炸了。 

这次JIRA发给我的警告就是这种情况，非admin用户直接调用接口还是可以操作只有admin用户才有权限的功能，想了一会，要解决这个问题，权限颗粒度就得做到接口层面了，毋庸置疑用AOP来做最合适。

思路就是自定义一个注解，打在需要控制权限的接口方法上，并且设置这个接口的权限角色。然后写一个AOP，切点就是打了这个自定义注解的方法，前置通知把方法拦截后，先拿到当前登录用户的角色，再拿到自定义注解中该方法的权限角色，根据这些判断当前登录用户有没有权限调用这个接口。如果有权限请求正常继续往下走，如果没有权限直接返回Response，里面可以写明没有权限。思路就是这样，代码实现如下：

自定义注解：

 aop的切点：

aop的前置通知：

 使用起来的就是这样在接口上打上自定义注解，并设置权限：

至于如何在前置通知中拿到当前登录用户，每个权限框架都不一样，这个项目用的是shiro，可以直接使用SecurityUtils去拿，其他权限框架比如Spring Security肯定也有自己的方法，这里就不多解释了。

用AOP去实现接口层面的权限管理是最简单实用的了。