前后端分离模式下的权限设计方案

程序员文章站 2022-03-20 22:05:07

作者：_liuxx cnblogs.com/liuyh/p/8027833.html 前后端分离模式下，所有的交互场景都变成了数据，传统业务系统中的权限控制方案在前端已经不再适用，因此引发了我对权限的重新思考与设计。对于非前后端分离模式下的权限思考，看这里：通用数据权限的思考与设计权限控制到底控制 ......

作者：_liuxx

cnblogs.com/liuyh/p/8027833.html

前后端分离模式下，所有的交互场景都变成了数据，传统业务系统中的权限控制方案在前端已经不再适用，因此引发了我对权限的重新思考与设计。对于非前后端分离模式下的权限思考，看这里：通用数据权限的思考与设计

权限控制到底控制的是什么？

在理解权限控制之前，需要明白两个概念：资源和权限。什么是资源，对于一个系统来说，系统内部的所有信息都可以理解为这个系统的资源。页面是资源、数据是资源、按钮是资源、图片是资源、甚至页面上一条分割线也可理解为是这个系统的资源。

而权限就是访问某个资源所需要的标识。无论系统的权限如何设计，在用户登录时，都可以计算得出用户所拥有的权限标识集合，也就确定了该用户能访问哪些系统资源，这就是我理解的权限控制的本质。于是我们可以得出：权限控制是控制登录用户对于系统资源的访问。

前后端分离模式下，前后端在权限控制中各自的职责是什么？

在弄清前后端在权限控制中各自的职责是什么之前，需要理解前后端各自在系统中的职责。这个还是很好理解：

服务端：提供数据接口。
前端：路由控制、页面渲染。

由于前端负责与用户交互，用户所能操作的资源入口都是由前端进行控制，那么前端的权限控制就包括：

前端路由的权限控制，过滤非法请求，用户只能访问权限范围内的页面资源。
页面内组件的权限控制，根据用户的权限控制页面组件的渲染。包括各种按钮、表格、分割线等。

随着前端组件化的快速发展，用户所看到的一切均可理解为组件，页面是个大组件，其内部由各个小组件拼凑而来，那么前端权限控制最终落地到对组件的权限控制。于是脑补了出了最优雅的权限组件使用方式：

<组件 permissionname='xxx' />

前端可以渲染出用户权限范围内的各种系统资源，但是不能保证数据接口的安全性，某些比较喜欢折腾的用户完全可以越过前端的页面访问我们系统的数据接口，那么服务端的权限控制最终落地到对接口的权限验证。

实现思路

引上文，系统的一切资源均可进行权限控制，实际上也可以做到，但在我们实际的操作过程中，往往不需要细化到分割线那种程度。这里以按钮级权限控制为例做实现说明，如果有更细粒度的权限需求，此思路依然可行。

前端路由权限控制。用户登录时拿到用户拥有的权限标识集合，在前端存储。路由变化时，进行权限判断，通过则渲染对应页面组件，否则渲染403组件。示例代码：

let haspermission = permission.check(current.permissionname);

<div classname={styles.content}>
    {haspermission ? children : <exception type={403}/>}
</div>

封装bird-button权限按钮组件，传入按钮所需权限名，内部进行权限判断，通过则渲染按钮。

<birdbutton permissionname={'sys'} type='primary'>测试按钮</birdbutton>

服务端。服务端权限验证很好理解。使用拦截器验证当前请求的权限。代码示例：

public class ssoauthorizeinterceptor extends handlerinterceptoradapter {

    @autowired
    private tickethandler tickethandler;

    @autowired
    private ssoauthorizemanager authorizemanager;

    @override
    public boolean prehandle(httpservletrequest request, httpservletresponse response, object handler) throws exception {
        if (!(handler instanceof handlermethod)) return false;

        handlermethod handlermethod = (handlermethod) handler;
        ssoauthorize authorize = handlermethod.getmethodannotation(ssoauthorize.class);
        if (authorize != null) {
            ticketinfo ticketinfo = tickethandler.getticket(request);
            if (ticketinfo == null) {
                throw new unauthorizedexception("用户信息已失效.");
            }

            string[] requirepermissions = authorize.permissions();
            if(requirepermissions.length==0)return true;

            boolean ischeckall = authorize.ischeckall();
            userpermissionchecker permissionchecker = authorizemanager.getuserpermissionchecker();
            if(!permissionchecker.haspermissions(ticketinfo.getuserid(),requirepermissions,ischeckall)){
                throw new forbiddenexception("用户没有当前操作的权限.");
            }
        }

        return true;
    }
}