根据角色进行权限控制

Spring
security实现登录验证+权限控制 

        上面这篇文章中是通过赋予admin账户URL来禁止其他用户访问，这样过于死板，现在用赋予每个角色可以访问的URL，然后将用户与URL绑定，来进行URL访问控制，前面的文章 根据角色加载菜单的思路（推荐使用） 是通过角色控制菜单是否显示，但是仅仅那样是不够的，还要通过控制URL的访问来进一步进行URL访问控制

1、通过首先将角色和该角色可访问的URL写入表中

@RequestMapping("urlAdd.json")

    public String urlAdd(ModelMap modelMap, HttpServletRequest request) {

        String urlType = request.getParameter("urlType");

        String urlResource = request.getParameter("urlResource");

        String menuName = request.getParameter("menuName");

        if (urlType == null || "".equals(urlType)) {

            urlType = "默认角色";

        }

        if (urlResource == null) {

            urlResource = "";

        }

       

        String[] urlList = urlResource.split(";");

        String[] menuList = menuName.split(";");

        int len = urlList.length;

        boolean bool = false;

        //首先看角色是否重复，角色名不可重复

        int countRole = filterService.confirmRole(urlType);

        if(countRole>0)

        {

        modelMap.put("status", bool);

        modelMap.put("menu", urlType);

        return "JSON";

        }

        //先添加角色表，因为角色只要添加一次，资源添加多次。

        bool = filterService.psRoleAdd(urlType);

        if(bool)//角色插入成功，再插入资源

        {

        for(int i=0;i<len;i++)

            {

        String resouceId = filterService.confirmUrlResource(urlList[i]);//确认这个url是否存在

                if(resouceId.equals(""))//没有这个资源需添加

                {

                bool = filterService.urlAdd(urlType, urlList[i], menuList[i], true);

                }

                else//只需添加role_resource关系表

                {

                bool = filterService.urlAdd(urlType, urlList[i], menuList[i], false);

                }

            }

        }

        modelMap.put("status", bool);

        return "JSON";

    }

 /**

     * 确认该角色名是否已经存在

     * */

    public int confirmRole(String roleName){

       String sql = "select count(*) from ps_role where role_name='"+roleName+"' ";

        return urlJdbcTemplate.queryForInt(sql);

   }

/*

     * 确认该URL是否存在

     * */

    public String confirmUrlResource(String urlResource){

    String sql = "select t1.id from ps_resource t1 where t1.value = ? ";

    String sourceId = getId(sql, urlResource, "id");

         return sourceId;

    }

//isFull这个参数比较重要

public boolean urlAdd(String urlType, String urlResource, String menuName, boolean isFull) {//添加url

        String sqlResouce = " INSERT INTO PS_RESOURCE(VALUE,SUMMARY) VALUES(?,?) ";

        String sqlRoleResource = " INSERT INTO PS_ROLE_RESOURCE(ROLE_ID,RESOURCE_ID) VALUES(?,?) ";

        String sqlResourceId = " SELECT ID FROM PS_RESOURCE WHERE VALUE= ? ";

        String sqlRoleId = "SELECT ID FROM PS_ROLE WHERE ROLE_NAME = ? ";

        boolean bool;

        try {

        if(isFull)

        {

        //插入资源表

                urlJdbcTemplate.update(sqlResouce, urlResource, menuName);

        }

            //获取刚刚插入资源表和角色表的ID，插入资源角色关联表

            String resourceId = getId(sqlResourceId, urlResource, "ID");

            String roleId = getId(sqlRoleId, urlType, "ID");

            urlJdbcTemplate.update(sqlRoleResource, roleId, resourceId);

            bool = true;

        } catch (Exception e) {

            bool = false;

        }

        return bool;

    }

2、将用户和角色绑定

@RequestMapping("roleAdd.json")

    public String roleAdd(ModelMap modelMap, HttpServletRequest request) {

        String roleIdentity = request.getParameter("roleIdentity");

        String role = request.getParameter("role");

        String roleId = request.getParameter("roleId");

        if (role == null || "".equals(role)) {

            role = "默认角色";

        }

        if (roleIdentity == null) {

            roleIdentity = "";

        }

        boolean bool = false;

        int count = filterService.confirmRoleId(roleIdentity);//确认这个用户id是否存在

        if(count == 0)

        {

        bool = filterService.roleAdd(roleIdentity, role, roleId);

        }

        modelMap.put("status", bool);

        return "JSON";

    }

 /*

     * 确认该用户否存在

     * */

    public int confirmRoleId(String roleIdentity){

    String sql = " SELECT COUNT(*) FROM PS_MEMBER WHERE USER_NAME = '"+roleIdentity+"'";

         return urlJdbcTemplate.queryForInt(sql);

    }

/**

     * @param roleIdentity

     * @param role

     * @return

     */

    public boolean roleAdd(String roleIdentity, String role, String roleId) {//添加用户

        String sql = " INSERT INTO PS_MEMBER(USER_NAME,PASSWORD) VALUES(?,?) ";

        String sqlId1 = " SELECT ID FROM PS_MEMBER WHERE USER_NAME = ? ";

        //String sqlId2 = " SELECT id FROM PS_ROLE WHERE ROLE_NAME = ? ";

        String sql2 = " INSERT INTO PS_MEMBER_ROLE(MEMBER_ID,ROLE_ID) VALUES(?,?) ";

        boolean bool;

        try {

            urlJdbcTemplate.update(sql, roleIdentity, "1");

            String memberId = getId(sqlId1, roleIdentity, "ID");

            //String roleId = getId(sqlId2, role, "id");

            urlJdbcTemplate.update(sql2, memberId, roleId);

            bool = true;

        } catch (Exception e) {

            bool = false;

        }

        return bool;

    }

3、最后登录时过滤URL，具体怎样设置配置文件可参考 

Spring
security实现登录验证+权限控制 ，下面的程序是对FilterSql.java的改造。

public boolean queryURL(String url, String user_id, List<String> user_role) {//url权限管理

        boolean permit = false;

        boolean noFilter = true;//不需要拦截

        Pattern p = Pattern.compile("\\.do");//需要过滤的后缀（*.do、*.json）

        Matcher m = p.matcher(url);

        while (m.find()) {

            noFilter = false;

        }

//        p = Pattern.compile("\\.json");

//        m = p.matcher(url);

//        while (m.find()) {

//            noFilter = false;

//        }

        if ("anonymousUser".equals(user_id) || noFilter) {//如果是用户登录，或者不是（*.do、*.json）

            return true;//不需要拦截

        }

        if (user_role.contains("ROLE_VISITOR") && !"/ps_admin/index.do".equals(url)) {//如果是访客且不是/admin/index.do，拦截。

            return false;//拦截

        }

        

        //首先只要用户角色是admin，所有的url都可以访问,另外所有的用户都可以访问/ps_admin/index.do

        if (user_role.contains("ROLE_ADMIN") || "/ps_admin/index.do".equals(url))

        {

        return true;

        }

        //然后再看哪些角色可以访问哪些URL

        List<String> list;

        Object[] roleObject = getObjectOfRole(user_role);

        String sql = " select t1.value from ps_resource t1,ps_role_resource t2,ps_role t3 where t1.id=t2.resource_id and t2.role_id=t3.id and t3.role_name= ? ";

        list = urlJdbcTemplate.query(sql, roleObject, new RowMapper<String>() {

            @Override

            public String mapRow(ResultSet rs, int i) throws SQLException {

                return rs.getString("VALUE");

            }

        });

        if (list.contains(url)) {//每个角色只能访问属于他的url

            permit = true;//允许

        }

        return permit;

    }