使用Java注解实现RBAC规则的自动提取

RBAC是各类系统中应用最广泛的访问控制机制。使用RBAC时，一个比较复杂的问题是维护数据库中的规则列表。本文使用Java注解实现了规则的自动提取，程序员只需要在需要权限控制的方法上方用RBAC注解说明规则名，规则url和能使用该方法的角色名即可。



RBAC表结构

一、RBAC注解

package annotation.rbac;

import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

@Retention(RetentionPolicy.RUNTIME)
@Target(value = {ElementType.METHOD})

public @interface Rbac {
String url();
String[] role();
String name();
}

二、角色定义

package annotation.rbac;

public class Roles {
public static final String ADMIN="admin";
public static final String MANAGER="manager";
public static final String TEACHER="teacher";
public static final String STUDENT="student";
}

三、在控制器上使用注解

package annotation.rbac;

public class UserController {

@Rbac(name="添加用户",url="/admin/adduser",role={Roles.ADMIN,Roles.MANAGER})
public String addUser(String username,String password){
return "success";
}

@Rbac(name="用户注销",url="/logout",role={Roles.ADMIN,Roles.MANAGER,Roles.STUDENT,Roles.TEACHER})
public String logout()
{
return "success";
}

@Rbac(name="成绩查询",url="/query",role=Roles.STUDENT)
public String query(){
return "success";
}

@Rbac(name="成绩录入",url="/insert",role=Roles.TEACHER)
public String insert(){
return "success";
}
}


四、注解解析器，用于提取RBAC规则。进行修改之后可对所有控制器进行分析并生成数据插入数据库。
package annotation.rbac;

import java.lang.annotation.Annotation;
import java.lang.reflect.Method;
import java.util.HashMap;
import java.util.Set;

public class RbacParser {

public static void main(String[] args) {
try {
HashMap<String,String> roleTable=new HashMap<>();
int ruleId=1;

Class c = Class.forName("annotation.rbac.UserController");
Method[] methods=c.getMethods();

for(Method m:methods){
Annotation[] annotations=m.getDeclaredAnnotations();
for(Annotation annotation:annotations){
if(annotation instanceof Rbac){
Rbac rbacAnnotation=(Rbac) annotation;
String url=rbacAnnotation.url();
String name=rbacAnnotation.name();
String[] methodRoles=rbacAnnotation.role();

//后面需要将这条语句转换为SQL插入到数据库表rules
System.out.printf("rule_id:%d name:%s url:%s\n",ruleId,name,url);

//将角色具有权限的rule的编号拼接成逗号分隔的字符串，存放到HashMap
for(String role:methodRoles){
if(roleTable.containsKey(role)){
String s=roleTable.get(role);
roleTable.put(role, s+","+ruleId);
}else{
roleTable.put(role, String.valueOf(ruleId));
}
}
ruleId++;
}
}
}

//后面需要将下面的输出语句转换为SQL插入到数据库表Roles
Set<String> roleNames = roleTable.keySet();
for(String roleName:roleNames){
System.out.printf("role_name:%s rules:%s\n",roleName,roleTable.get(roleName));
}

} catch (Exception e) {
throw new RuntimeException(e);
}

}

}