妙用MyBatis Plus實現(xiàn)數(shù)據(jù)權(quán)限控制
Java大聯(lián)盟 致力于最高效的Java學習
關注
原文鏈接 blog.csdn.net/yiqiu1959/article/details/128923821
前言背景
平時開發(fā)中遇到根據(jù)當前用戶的角色，只能查看數(shù)據(jù)權(quán)限范圍的數(shù)據(jù)需求。列表實現(xiàn)方案有兩種，一是在開發(fā)初期就做好判斷賽選，但如果這個需求是中途加的，或不希望每個接口都加一遍，就可以方案二加攔截器的方式。在mybatis執(zhí)行sql前修改語句，限定where范圍。
當然攔截器生效后是全局性的，如何保證只對需要的接口進行攔截和轉(zhuǎn)化，就可以應用注解進行識別
因此具體需要哪些步驟就明確了
-
創(chuàng)建注解類 -
創(chuàng)建攔截器實現(xiàn)InnerInterceptor接口，重寫查詢方法 -
創(chuàng)建處理類，獲取數(shù)據(jù)權(quán)限 SQL 片段，設置where -
將攔截器加到MyBatis-Plus插件中
代碼實現(xiàn)
自定義注解
import java.lang.annotation.ElementType;import java.lang.annotation.Retention;import java.lang.annotation.RetentionPolicy;import java.lang.annotation.Target;
@Target({ElementType.METHOD, ElementType.TYPE})@Retention(RetentionPolicy.RUNTIME)public @interface UserDataPermission {}
攔截器
import com.baomidou.mybatisplus.core.plugins.InterceptorIgnoreHelper;import com.baomidou.mybatisplus.core.toolkit.PluginUtils;import com.baomidou.mybatisplus.extension.parser.JsqlParserSupport;import com.baomidou.mybatisplus.extension.plugins.inner.InnerInterceptor;import lombok.*;import net.sf.jsqlparser.expression.Expression;import net.sf.jsqlparser.statement.select.PlainSelect;import net.sf.jsqlparser.statement.select.Select;import net.sf.jsqlparser.statement.select.SelectBody;import net.sf.jsqlparser.statement.select.SetOperationList;import org.apache.ibatis.executor.Executor;import org.apache.ibatis.mapping.BoundSql;import org.apache.ibatis.mapping.MappedStatement;import org.apache.ibatis.session.ResultHandler;import org.apache.ibatis.session.RowBounds;
import java.sql.SQLException;import java.util.List;
(callSuper = true)(callSuper = true)public class MyDataPermissionInterceptor extends JsqlParserSupport implements InnerInterceptor {
/** * 數(shù)據(jù)權(quán)限處理器 */ private MyDataPermissionHandler dataPermissionHandler;
public void beforeQuery(Executor executor, MappedStatement ms, Object parameter, RowBounds rowBounds, ResultHandler resultHandler, BoundSql boundSql) throws SQLException { if (InterceptorIgnoreHelper.willIgnoreDataPermission(ms.getId())) { return; } PluginUtils.MPBoundSql mpBs = PluginUtils.mpBoundSql(boundSql); mpBs.sql(this.parserSingle(mpBs.sql(), ms.getId())); }
protected void processSelect(Select select, int index, String sql, Object obj) { SelectBody selectBody = select.getSelectBody(); if (selectBody instanceof PlainSelect) { this.setWhere((PlainSelect) selectBody, (String) obj); } else if (selectBody instanceof SetOperationList) { SetOperationList setOperationList = (SetOperationList) selectBody; List<SelectBody> selectBodyList = setOperationList.getSelects(); selectBodyList.forEach(s -> this.setWhere((PlainSelect) s, (String) obj)); } }
/** * 設置 where 條件 * * @param plainSelect 查詢對象 * @param whereSegment 查詢條件片段 */ private void setWhere(PlainSelect plainSelect, String whereSegment) {
Expression sqlSegment = this.dataPermissionHandler.getSqlSegment(plainSelect, whereSegment); if (null != sqlSegment) { plainSelect.setWhere(sqlSegment); } }}
攔截器處理器
基礎只涉及 = 表達式，要查詢集合范圍 in 看進階版用例
import cn.hutool.core.collection.CollectionUtil;import lombok.SneakyThrows;import lombok.extern.slf4j.Slf4j;import net.sf.jsqlparser.expression.Alias;import net.sf.jsqlparser.expression.Expression;import net.sf.jsqlparser.expression.HexValue;import net.sf.jsqlparser.expression.StringValue;import net.sf.jsqlparser.expression.operators.conditional.AndExpression;import net.sf.jsqlparser.expression.operators.relational.EqualsTo;import net.sf.jsqlparser.expression.operators.relational.ExpressionList;import net.sf.jsqlparser.expression.operators.relational.InExpression;import net.sf.jsqlparser.expression.operators.relational.ItemsList;import net.sf.jsqlparser.schema.Column;import net.sf.jsqlparser.schema.Table;import net.sf.jsqlparser.statement.select.PlainSelect;
import java.lang.reflect.Method;import java.util.List;import java.util.Objects;import java.util.Set;import java.util.stream.Collectors;
@Slf4jpublic class MyDataPermissionHandler {
/** * 獲取數(shù)據(jù)權(quán)限 SQL 片段 * * @param plainSelect 查詢對象 * @param whereSegment 查詢條件片段 * @return JSqlParser 條件表達式 */ @SneakyThrows(Exception.class) public Expression getSqlSegment(PlainSelect plainSelect, String whereSegment) { // 待執(zhí)行 SQL Where 條件表達式 Expression where = plainSelect.getWhere(); if (where == null) { where = new HexValue(" 1 = 1 "); } log.info("開始進行權(quán)限過濾,where: {},mappedStatementId: {}", where, whereSegment); //獲取mapper名稱 String className = whereSegment.substring(0, whereSegment.lastIndexOf(".")); //獲取方法名 String methodName = whereSegment.substring(whereSegment.lastIndexOf(".") + 1); Table fromItem = (Table) plainSelect.getFromItem(); // 有別名用別名，無別名用表名，防止字段沖突報錯 Alias fromItemAlias = fromItem.getAlias(); String mainTableName = fromItemAlias == null ? fromItem.getName() : fromItemAlias.getName(); //獲取當前mapper 的方法 Method[] methods = Class.forName(className).getMethods(); //遍歷判斷mapper 的所以方法，判斷方法上是否有 UserDataPermission for (Method m : methods) { if (Objects.equals(m.getName(), methodName)) { UserDataPermission annotation = m.getAnnotation(UserDataPermission.class); if (annotation == null) { return where; } // 1、當前用戶Code User user = SecurityUtils.getUser(); // 查看自己的數(shù)據(jù) // = 表達式 EqualsTo usesEqualsTo = new EqualsTo(); usesEqualsTo.setLeftExpression(new Column(mainTableName + ".creator_code")); usesEqualsTo.setRightExpression(new StringValue(user.getUserCode())); return new AndExpression(where, usesEqualsTo); } } //說明無權(quán)查看， where = new HexValue(" 1 = 2 "); return where; }
}
將攔截器加到MyBatis-Plus插件中
如果你之前項目配插件 ，直接用下面方式就行
public MybatisPlusInterceptor mybatisPlusInterceptor() { MybatisPlusInterceptor interceptor = new MybatisPlusInterceptor(); // 添加數(shù)據(jù)權(quán)限插件 MyDataPermissionInterceptor dataPermissionInterceptor = new MyDataPermissionInterceptor(); // 添加自定義的數(shù)據(jù)權(quán)限處理器 dataPermissionInterceptor.setDataPermissionHandler(new MyDataPermissionHandler()); interceptor.addInnerInterceptor(dataPermissionInterceptor); interceptor.addInnerInterceptor(new PaginationInnerInterceptor(DbType.MYSQL)); return interceptor;}
但如果你項目之前是依賴包依賴，或有公司內(nèi)部統(tǒng)一攔截設置好，也可以往MybatisPlusInterceptor進行插入，避免影響原有項目配置
@Beanpublic MyDataPermissionInterceptor myInterceptor(MybatisPlusInterceptor mybatisPlusInterceptor) { MyDataPermissionInterceptor sql = new MyDataPermissionInterceptor(); sql.setDataPermissionHandler(new MyDataPermissionHandler()); List<InnerInterceptor> list = new ArrayList<>(); // 添加數(shù)據(jù)權(quán)限插件 list.add(sql); // 分頁插件 mybatisPlusInterceptor.setInterceptors(list); list.add(new PaginationInnerInterceptor(DbType.MYSQL)); return sql;}
以上就是簡單版的是攔截器修改語句使用
使用方式
在mapper層添加注解即可
List<CustomerAllVO> selectAllCustomerPage(IPage<CustomerAllVO> page, ("customerName")String customerName);
進階版
基礎版只是能用，業(yè)務功能沒有特別約束，先保證能跑起來
進階版 解決兩個問題：
-
加了角色，用角色決定范圍 -
解決不是mapper層自定義sql查詢問題。
兩個是完全獨立的問題 ，可根據(jù)情況分開解決
解決不是mapper層自定義sql查詢問題。
例如我們名稱簡單的sql語句 直接在Service層用mybatisPluse自帶的方法
xxxxService.list(Wrapper<T> queryWrapper)xxxxService.page(new Page<>(),Wrapper<T> queryWrapper)
以上這種我應該把注解加哪里呢
因為service層，本質(zhì)上還是調(diào)mapper層， 所以還是在mapper層做文章，原來的mapper實現(xiàn)了extends BaseMapper 接口，所以能夠查詢，我們要做的就是在 mapper層中間套一個中間接口，來方便我們加注解
xxxxxMapper ——》DataPermissionMapper（中間） ——》BaseMapper
根據(jù)自身需要，在重寫的接口方法上加注解即可，這樣就影響原先的代碼
import com.baomidou.mybatisplus.core.conditions.Wrapper;import com.baomidou.mybatisplus.core.mapper.BaseMapper;import com.baomidou.mybatisplus.core.metadata.IPage;import com.baomidou.mybatisplus.core.toolkit.Constants;import org.apache.ibatis.annotations.Param;
import java.io.Serializable;import java.util.Collection;import java.util.List;import java.util.Map;
public interface DataPermissionMapper<T> extends BaseMapper<T> {
/** * 根據(jù) ID 查詢 * * @param id 主鍵ID */ T selectById(Serializable id);
/** * 查詢（根據(jù)ID 批量查詢） * * @param idList 主鍵ID列表(不能為 null 以及 empty) */ List<T> selectBatchIds((Constants.COLLECTION) Collection<? extends Serializable> idList);
/** * 查詢（根據(jù) columnMap 條件） * * @param columnMap 表字段 map 對象 */ List<T> selectByMap((Constants.COLUMN_MAP) Map<String, Object> columnMap);
/** * 根據(jù) entity 條件，查詢一條記錄 * * @param queryWrapper 實體對象封裝操作類（可以為 null） */ T selectOne((Constants.WRAPPER) Wrapper<T> queryWrapper);
/** * 根據(jù) Wrapper 條件，查詢總記錄數(shù) * * @param queryWrapper 實體對象封裝操作類（可以為 null） */ Integer selectCount((Constants.WRAPPER) Wrapper<T> queryWrapper);
/** * 根據(jù) entity 條件，查詢?nèi)坑涗?/span> * * @param queryWrapper 實體對象封裝操作類（可以為 null） */ List<T> selectList((Constants.WRAPPER) Wrapper<T> queryWrapper);
/** * 根據(jù) Wrapper 條件，查詢?nèi)坑涗?/span> * * @param queryWrapper 實體對象封裝操作類（可以為 null） */ List<Map<String, Object>> selectMaps((Constants.WRAPPER) Wrapper<T> queryWrapper);
/** * 根據(jù) Wrapper 條件，查詢?nèi)坑涗?/span> * <p>注意： 只返回第一個字段的值</p> * * @param queryWrapper 實體對象封裝操作類（可以為 null） */ List<Object> selectObjs((Constants.WRAPPER) Wrapper<T> queryWrapper);
/** * 根據(jù) entity 條件，查詢?nèi)坑涗洠ú⒎摚?/span> * * @param page 分頁查詢條件（可以為 RowBounds.DEFAULT） * @param queryWrapper 實體對象封裝操作類（可以為 null） */ <E extends IPage<T>> E selectPage(E page, (Constants.WRAPPER) Wrapper<T> queryWrapper);
/** * 根據(jù) Wrapper 條件，查詢?nèi)坑涗洠ú⒎摚?/span> * * @param page 分頁查詢條件 * @param queryWrapper 實體對象封裝操作類 */ <E extends IPage<Map<String, Object>>> E selectMapsPage(E page, (Constants.WRAPPER) Wrapper<T> queryWrapper);}
解決角色控制查詢范圍
引入角色，我們先假設有三種角色，按照常規(guī)的業(yè)務需求，一種是管理員查看全部、一種是部門管理查看本部門、一種是僅查看自己。
有了以上假設，就可以設置枚舉類編寫業(yè)務邏輯， 對是業(yè)務邏輯，所以我們只需要更改”攔截器處理器類“
-
建立范圍枚舉 -
建立角色枚舉以及范圍關聯(lián)關系 -
重寫攔截器處理方法
范圍枚舉
public enum DataScope { // Scope 數(shù)據(jù)權(quán)限范圍 ：ALL（全部）、DEPT（部門）、MYSELF（自己） ALL("ALL"), DEPT("DEPT"), MYSELF("MYSELF"); private String name;}
角色枚舉
public enum DataPermission {
// 枚舉類型根據(jù)范圍從前往后排列，避免影響getScope // Scope 數(shù)據(jù)權(quán)限范圍 ：ALL（全部）、DEPT（部門）、MYSELF（自己） DATA_MANAGER("數(shù)據(jù)管理員", "DATA_MANAGER",DataScope.ALL), DATA_AUDITOR("數(shù)據(jù)審核員", "DATA_AUDITOR",DataScope.DEPT), DATA_OPERATOR("數(shù)據(jù)業(yè)務員", "DATA_OPERATOR",DataScope.MYSELF);
private String name; private String code; private DataScope scope;
public static String getName(String code) { for (DataPermission type : DataPermission.values()) { if (type.getCode().equals(code)) { return type.getName(); } } return null; }
public static String getCode(String name) { for (DataPermission type : DataPermission.values()) { if (type.getName().equals(name)) { return type.getCode(); } } return null; }
public static DataScope getScope(Collection<String> code) { for (DataPermission type : DataPermission.values()) { for (String v : code) { if (type.getCode().equals(v)) { return type.getScope(); } } } return DataScope.MYSELF; }}
重寫攔截器處理類 MyDataPermissionHandler
import lombok.SneakyThrows;import lombok.extern.slf4j.Slf4j;import net.sf.jsqlparser.expression.Alias;import net.sf.jsqlparser.expression.Expression;import net.sf.jsqlparser.expression.HexValue;import net.sf.jsqlparser.expression.StringValue;import net.sf.jsqlparser.expression.operators.conditional.AndExpression;import net.sf.jsqlparser.expression.operators.relational.EqualsTo;import net.sf.jsqlparser.expression.operators.relational.ExpressionList;import net.sf.jsqlparser.expression.operators.relational.InExpression;import net.sf.jsqlparser.expression.operators.relational.ItemsList;import net.sf.jsqlparser.schema.Column;import net.sf.jsqlparser.schema.Table;import net.sf.jsqlparser.statement.select.PlainSelect;
import java.lang.reflect.Method;import java.util.List;import java.util.Objects;import java.util.Set;import java.util.stream.Collectors;
@Slf4jpublic class MyDataPermissionHandler {
private RemoteRoleService remoteRoleService; private RemoteUserService remoteUserService;
/** * 獲取數(shù)據(jù)權(quán)限 SQL 片段 * * @param plainSelect 查詢對象 * @param whereSegment 查詢條件片段 * @return JSqlParser 條件表達式 */ @SneakyThrows(Exception.class) public Expression getSqlSegment(PlainSelect plainSelect, String whereSegment) { remoteRoleService = SpringUtil.getBean(RemoteRoleService.class); remoteUserService = SpringUtil.getBean(RemoteUserService.class);
// 待執(zhí)行 SQL Where 條件表達式 Expression where = plainSelect.getWhere(); if (where == null) { where = new HexValue(" 1 = 1 "); } log.info("開始進行權(quán)限過濾,where: {},mappedStatementId: {}", where, whereSegment); //獲取mapper名稱 String className = whereSegment.substring(0, whereSegment.lastIndexOf(".")); //獲取方法名 String methodName = whereSegment.substring(whereSegment.lastIndexOf(".") + 1); Table fromItem = (Table) plainSelect.getFromItem(); // 有別名用別名，無別名用表名，防止字段沖突報錯 Alias fromItemAlias = fromItem.getAlias(); String mainTableName = fromItemAlias == null ? fromItem.getName() : fromItemAlias.getName(); //獲取當前mapper 的方法 Method[] methods = Class.forName(className).getMethods(); //遍歷判斷mapper 的所以方法，判斷方法上是否有 UserDataPermission for (Method m : methods) { if (Objects.equals(m.getName(), methodName)) { UserDataPermission annotation = m.getAnnotation(UserDataPermission.class); if (annotation == null) { return where; } // 1、當前用戶Code User user = SecurityUtils.getUser(); // 2、當前角色即角色或角色類型（可能多種角色） Set<String> roleTypeSet = remoteRoleService.currentUserRoleType(); DataScope scopeType = DataPermission.getScope(roleTypeSet); switch (scopeType) { // 查看全部 case ALL: return where; case DEPT: // 查看本部門用戶數(shù)據(jù) // 創(chuàng)建IN 表達式 // 創(chuàng)建IN范圍的元素集合 List<String> deptUserList = remoteUserService.listUserCodesByDeptCodes(user.getDeptCode()); // 把集合轉(zhuǎn)變?yōu)镴SQLParser需要的元素列表 ItemsList deptList = new ExpressionList(deptUserList.stream().map(StringValue::new).collect(Collectors.toList())); InExpression inExpressiondept = new InExpression(new Column(mainTableName + ".creator_code"), deptList); return new AndExpression(where, inExpressiondept); case MYSELF: // 查看自己的數(shù)據(jù) // = 表達式 EqualsTo usesEqualsTo = new EqualsTo(); usesEqualsTo.setLeftExpression(new Column(mainTableName + ".creator_code")); usesEqualsTo.setRightExpression(new StringValue(user.getUserCode())); return new AndExpression(where, usesEqualsTo); default: break; } }
} //說明無權(quán)查看， where = new HexValue(" 1 = 2 "); return where; }}
以上就是全篇知識點， 需要注意的點可能有：
-
記得把攔截器加到MyBatis-Plus的插件中，確保生效 -
要有一個業(yè)務賽選標識字段， 這里用的創(chuàng)建人 creator_code, 也可以用dept_code等等
評論
圖片
表情