angular基于路由控制ui-router实现系统权限控制

前端去实现权限控制听起来有点扯淡（实际也有点扯淡），掩耳盗铃，主要是担心安全问题，但是如果在前后端分离的情况下，需要做一个带有权限控制的后台管理系统，angular基于ui-router应该怎么做呢？

权限的设计中比较常见的就是rbac基于角色的访问控制,基本思想是，对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。

 一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。这样做的好处是，不必在每次创建用户时都进行分配权限的操作，只要分配用户相应的角色即可，而且角色的权限变更比用户的权限变更要少得多，这样将简化用户的权限管理，减少系统的开销。

前端基于angular开发的管理系统在权限控制方面需要处理如下几种情况：

1、ui，该用户对应的角色权限能够访问哪些页面不能访问哪些页面；

2、理由，当用户准备跳转到某一页面时，如果没有该页面的访问权，重定向到一个错误提示页面；

3、http请求，该用户是否具有访问某些api的权限，如果没有返回403

如果处理以上问题？

 大致思路是：

1、用户登录后从server获取该用户的permission

2、然后建立一个service来保存该permission的映射关系，比如a用户的permission是查看page1，page2，那么在路由发生变更之前判断是否有访问的权限，有正常跳转，没有则跳转到统一的403页面或者其他。

3、对于http请求，可以让server来处理，判断用户是否有请求权限

获取用户permission，比如：

var permissionlist; 
angular.element(document).ready(function() { 
 $.get('/api/userpermission', function(data) { 
  permissionlist = data; 
  angular.bootstrap(document, ['app']); 
 }); 
}); 

这里用到的是jquery的ajax，因为在此之前angular还没启动，如果我们的登录也是用angular实现，可以在登录之后让server返回permission，然后保存下来。

判断该用户是否具有某个权限，比如：

app.factory('permissions', function($rootscope) {
    return {
      haspermission: function(permission) {
        if (permission) {
          if (typeof(permission) == "string") {
            if (permissionlist.indexof(permission) > -1) {
              return true;
            }
          }
        }
        return false;
      }
    };
  });

路由权限控制：

app.run(function($rootscope, $location,$state, permissions) {
    $rootscope.$on('$statechangestart', function(event, tostate, toparams, fromstate, fromparams) {
      var permission = tostate.permission;  
      if (tostate.name!="login"&&!permissions.haspermission(permission)) {
        // event.preventdefault();
        // $state.transitionto("login");
      }
    });
  });

  //路由配置
  app.config(function($stateprovider, $urlrouterprovider, $controllerprovider) {
    app.registercontroller = $controllerprovider.register;
    app.loadjs = function(js) {
      return function($rootscope, $q) {
        var def = $q.defer(),
          deps = [];
        angular.isarray(js) ? (deps = js) : deps.push(js);
        require(deps, function() {
          $rootscope.$apply(function() {
            def.resolve();
          });
        });
        return def.promise;
      };
    };
    $urlrouterprovider.otherwise('/login');
    $stateprovider.state('login', {
      url: '/login',
      templateurl: '/assets/console/pages/login.html',
      controller: 'logincontroller',
      resolve: {
        deps: app.loadjs('./controllers/login')
      }
    });
    $stateprovider.state('index', {
      url: '/index',
      templateurl: '/assets/console/pages/home.html',
      controller: 'indexcontroller',
      resolve: {
        deps: app.loadjs('./controllers/index')
      },
      permission: "super_admin"
    });
  });

开发过程中实际会遇到的问题：

1、登录后如何刷新页面，因为我们的登录信息部分是server框架实现的，没完全分离，所以登录后登录信息没有刷新，可以通过判断fromstate和tostate来判断是否从登录页面跳转到指定页面，然后通过 $window.location.reload();实现页面的整体刷新。

2、跳转后当前导航的选中状态更新，state成功后刷新ui

app.run(['$rootscope', "$state", '$window', '$location', '$log', function($rootscope, $state, $window, $location, $log) {
    $rootscope.$on('$statechangesuccess',
      function(evt, tostate, roparams, fromstate, fromparams) {
        //如果是登录进来就刷新页面
        settimeout(function(){
          appcommon.initui();
        },500);
      });
  }]);