权限管理组件的设计、开发思路

缺乏、安全感 2022-06-16 13:13 208阅读 0赞

应用软件中通常包含用户的权限管理功能，往往不同应用系统对权限管理功能的需求不同，有自己的权限模型，权限的授权、鉴权策略。权限管理是相对独立的一个功能模块，由于功能需求不同、采用模型设计、实现技术等的不同，往往给设计开发人员带来很大的负担，开发出来的东西往往耦合性大、不易扩展维护，给项目带来很大风险。为适应软件开发组件模块开发趋势，把它设计成通用、灵活复用嵌入应用系统的组件模块不是一件容易的事情。业界曾提供了许多通用权限管理的组件或解决方案。参照一些资源，以及我的一些开发项目经验，试图探索一些权限组件设计开发的一些思路，也希望能得到阅读本文的意见和建议，持续改进完善它。现在我主要从以下方面介绍：1）权限模型；2）基础框架技术组件

## 权限模型 ##

包括授权模型、鉴权模型（也叫权限验证模型）。授权模型有DAC、MAC、ACL、RBAC。鉴权模型，给出一个图解如下

![0_1328146204oo61.gif][]

比较著名的授权模型是RBAC（基于角色的访问控制）。这个资料很多，不用详细说了。主要涉及的实体有用户users(USERS)‏ 、角色roles(ROLES)‏ 、目标objects(OBS)‏ 、操作operations(OPS)‏ 、许可权permissions(PRMS)‏ 。

## 权限技术组件选型 ##

基础框架的技术组件，比较著名的应该是Acegi Security（以下简称Acegi），它是一个能为基于Spring的企业应用提供强大而灵活安全访问控制解决方案的框架，Acegi已经成为Spring官方的一个子项目，所以也称为Spring Security。Acegi提供的权限管理方面功能可以说非常全面，但是它的设计比较细致、复杂，需要一定时间学习和掌握它的框架结构和使用原理，才能得到比较好应用。属于比较重量级的组件，如果权限方面的有更多特性化的业务需求，需要定制扩展该组件时，就需要非常熟悉掌握到一定程度，甚至需要修改扩展Acegi源码，如果不够熟悉组件架构原理，就会改不好，甚至引来一些不必要的麻烦。对于开源的组件，我个人建议是对于设计的重量级的组件，如果应用系统目前用到的功能没有那么全面，只用部分功能的话，就可以了解到它的架构机制原理后，把需要使用的部分功能从开源组件中抽取出来，整合舍弃一些不太用到的源码，简单化，封装成一个相对轻量级的组件，这样既可以满足应用系统的功能，也能充分利用开源组件的框架机理（毕竟开源组件是经过很多项目的检验，可以借鉴的，很多地方比我们个人考虑更成熟）。这样形成的轻量级组件植入我们的应用系统，变得更可控，更容易维护、灵活扩展。

Acegi实现机制可以参看文档[http://blog.csdn.net/yan\_dk/article/details/7228167][http_blog.csdn.net_yan_dk_article_details_7228167]。

总体来说，Acegi实现还是功能集成度高、复杂、重量级的。笔者建议还是把它拆分成不同的功能部分，根据需要分别来用不同组件实现比较好，比如认证处理我们可以采用SSO组件就可以，权限资源拦截我们可以自己编写权限资源访问匹配方法，这样比较灵活一些。下面谈一个权限资源拦截的一个设计、编码实例。

设计思路主要是：

1.一个单例(AuthorityContextSingleton)：保存当前用户拥有的所有权限资源路径，用于在权限资源拦截时提供可用权限资源；

2.一个过滤器(AuthorityInterceptorFilter)：对请求资源进行拦截，根据上述单例中保存的用户拥有的权限资源路径进行匹配，如果不能正确匹配，就属于无权访问资源，进行拒绝访问的处理。

范例代码如下：

<table> 
 <tbody> 
 <tr> 
 <td> /** &nbsp;* 权限资源上下文单例&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;* @author yandk &nbsp;* @date Jan 30, 2012 &nbsp;*/ public class AuthorityContextSingleton { &nbsp;protected Log log = LogFactory.getLog(getClass()); &nbsp;private LoginService loginService; &nbsp;private String authoritySwitch;//权限资源拦截开关，true启用；false不启用。 &nbsp;public void setLoginService(LoginService loginService) { &nbsp;&nbsp;this.loginService = loginService; &nbsp;} &nbsp;public void setAuthoritySwitch(String authoritySwitch) { &nbsp;&nbsp;this.authoritySwitch = authoritySwitch; &nbsp;} &nbsp;public String getAuthoritySwitch() { &nbsp;&nbsp;return authoritySwitch; &nbsp;} &nbsp;private Map&lt;String,List&gt; mapSecurityResource=new HashMap&lt;String,List&gt;();//安全资源映射表，包含(操作员编码,安全资源路径)的键值对。 &nbsp; //&nbsp;private volatile static AuthorityContextSingleton authorityContextSingleton ; &nbsp;private AuthorityContextSingleton(){ &nbsp;&nbsp; &nbsp;} &nbsp; &nbsp;synchronized public void setSecurityResource(Oper oper){ &nbsp;&nbsp;List&lt;String&gt; list_funcPath= new ArrayList&lt;String&gt;(); &nbsp;&nbsp;String operName = oper.getOperName(); //&nbsp;&nbsp;判断当前用户是否是超级用户角色，若是则开放所有访问资源，*.do &nbsp;&nbsp;List&lt;Role&gt; list_role= oper.getRoleList(); &nbsp;&nbsp;for (Role role : list_role) { &nbsp;&nbsp;&nbsp;String roleType = role.getRoleType(); &nbsp;&nbsp;&nbsp;if( 是超级管理员角色){//管理员角色类型是超级管理员时，拥有所有权限 &nbsp;&nbsp;&nbsp;&nbsp;list_funcPath.add("*.do"); &nbsp;&nbsp;&nbsp;&nbsp;mapSecurityResource.put(operName , list_funcPath); &nbsp;&nbsp;&nbsp;&nbsp;return; &nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;} //&nbsp;&nbsp;取得参数用户的权限资源 &nbsp;&nbsp;list_funcPath=loginService.getFuncPath(oper); //&nbsp;&nbsp;将参数用户及其权限资源存入安全资源映射表 &nbsp;&nbsp;mapSecurityResource.put(PubConstant.user_authrity_Key_prefix+operName, list_funcPath); &nbsp;} &nbsp;public Map&lt;String, List&gt; getMapSecurityResource() { &nbsp;&nbsp;return mapSecurityResource; &nbsp;} </td> 
 </tr> 
 </tbody> 
</table>

注：本单例类通过spring注入上下文使用。

<table> 
 <tbody> 
 <tr> 
 <td> /** &nbsp;* 安全资源访问的拦截控制：用户访问系统时，拦截控制只能访问被授权的资源(功能路径)，如果访问未授权资源，则提示拒绝访问&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;* @author yandk &nbsp;* @date Jan 29, 2012 &nbsp;*/ public class AuthorityInterceptorFilter implements Filter { &nbsp;protected Log log = LogFactory.getLog(getClass()); &nbsp; &nbsp;public final static String USERDEFINE_FUNCPATH_INIT_PARAM = "userdefine.open.funcpath";//用户自定义的开放资源(url功能路径) &nbsp;private String userdefine_funcpath;//用户自定义的开放资源-值 &nbsp; &nbsp;@Override &nbsp;public void init(FilterConfig config) throws ServletException { &nbsp;&nbsp;userdefine_funcpath = config.getInitParameter(USERDEFINE_FUNCPATH_INIT_PARAM);&nbsp;&nbsp; &nbsp;} &nbsp;@Override &nbsp;public void doFilter(ServletRequest request, &nbsp;&nbsp;&nbsp;ServletResponse response, FilterChain chain) throws IOException, ServletException{ &nbsp;&nbsp;HttpServletRequest httpRequest = (HttpServletRequest) request; &nbsp;&nbsp;HttpSession httpSession = ((HttpServletRequest) request).getSession(); &nbsp;&nbsp;HttpServletResponse httpResponse = (HttpServletResponse)response; &nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;try { &nbsp;&nbsp;&nbsp; ServletContext servletContext = httpSession.getServletContext();&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ApplicationContext ctx = WebApplicationContextUtils.getWebApplicationContext(servletContext); &nbsp;&nbsp;&nbsp; AuthorityContextSingleton authorityContextSingleton = (AuthorityContextSingleton)ctx.getBean("authorityContextSingleton"); &nbsp;&nbsp;&nbsp; if("true".equals( authorityContextSingleton.getAuthoritySwitch())){//如果权限资源拦截开关未启用，则不拦截 &nbsp;&nbsp;&nbsp;String requestPath = httpRequest.getRequestURI(); &nbsp;&nbsp;&nbsp;String ls_requestPath = UrlUtils.buildFullRequestUrl(httpRequest.getScheme(), httpRequest.getServerName(), httpRequest.getServerPort(), requestPath, null); &nbsp;&nbsp;&nbsp;Oper oper = (Oper) httpSession.getAttribute("oper"); &nbsp;&nbsp;&nbsp;if(oper!=null &amp;&amp; userdefine_funcpath!=null){//在登录之后进行权限资源的拦截处理 //&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; String operCode =oper.getOperCode(); &nbsp;&nbsp;&nbsp;&nbsp;String operName = oper.getOperName(); //&nbsp;&nbsp;&nbsp;&nbsp;判断请求路径是否与设置参数userdefine_funcpath相匹配，若匹配可以开放访问 &nbsp;&nbsp;&nbsp;&nbsp;PathMatcher matcher = new AntPathMatcher(); &nbsp;&nbsp;&nbsp;&nbsp;String userdefinePaths[] = null;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;userdefinePaths = userdefine_funcpath.split(","); &nbsp;&nbsp;&nbsp;&nbsp;boolean flag; &nbsp;&nbsp;&nbsp;&nbsp;flag = matchRequestPath(matcher,ls_requestPath,userdefinePaths); &nbsp;&nbsp;&nbsp;&nbsp;if (flag) {//若匹配开放资源，则不拦截 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;log.info(" AuthorityInterceptorFilter request path '"+ls_requestPath+"'is matched,filter chain will be continued.");&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;}else{ //&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; authorityContextSingleton.setSecurityResource(operCode);//aa &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Map&lt;String,List&gt; mapSecurityResource=authorityContextSingleton.getMapSecurityResource(); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; List list_funcPath = mapSecurityResource.get(PubConstant.user_authrity_Key_prefix+operName); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; if(list_funcPath!=null&amp;&amp;!list_funcPath.isEmpty()){ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Object[] funcPaths = list_funcPath.toArray(); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;boolean flag2; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;flag2= matchRequestPath(matcher,ls_requestPath,funcPaths); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if(!flag2){ &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;httpResponse.sendRedirect(httpRequest.getContextPath()+"/accessDenied.jsp"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}&nbsp;&nbsp; &nbsp;&nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;} &nbsp;&nbsp;&nbsp;chain.doFilter(request, response); &nbsp;&nbsp;&nbsp; } &nbsp;&nbsp;} catch (Exception ex) { &nbsp;&nbsp;&nbsp;log.debug("SecurityResourceInterceptorFilter: " + ex.toString()); &nbsp;&nbsp;&nbsp;ex.printStackTrace(); &nbsp;&nbsp;} &nbsp;} &nbsp; &nbsp;private boolean matchRequestPath(PathMatcher matcher,String requestPath,Object[] resourcePaths){ &nbsp;&nbsp;boolean flag=false; &nbsp;&nbsp;for (Object resourcePath : resourcePaths) { &nbsp;&nbsp;&nbsp; flag = matcher.match("**/"+(String)resourcePath, requestPath); &nbsp;&nbsp;&nbsp; if (flag) { &nbsp;&nbsp;&nbsp;flag=true; &nbsp;&nbsp;&nbsp;break; &nbsp;&nbsp;&nbsp; } &nbsp;&nbsp;} &nbsp;&nbsp;return flag; &nbsp;} &nbsp;@Override &nbsp;public void destroy() { &nbsp;&nbsp;// TODO Auto-generated method stub &nbsp;&nbsp; &nbsp;} &nbsp; } </td> 
 </tr> 
 </tbody> 
</table>

在web.xml文件中写入对过滤器组件的引用，如下

<table> 
 <tbody> 
 <tr> 
 <td> ... &lt;!-- 安全资源拦截控制 --&gt;&nbsp; &nbsp;&lt;filter&gt;&nbsp;&nbsp; &nbsp;&nbsp;&lt;filter-name&gt;authorityInterceptorFilter&lt;/filter-name&gt; &nbsp;&nbsp;&lt;filter-class&gt;cn.ceopen.bss.pub.login.util.AuthorityInterceptorFilter&lt;/filter-class&gt; &nbsp;&nbsp;&lt;init-param&gt; &nbsp;&nbsp;&nbsp;&lt;param-name&gt;userdefine.open.funcpath&lt;/param-name&gt; &nbsp;&nbsp;&nbsp;&lt;param-value&gt; &nbsp;&nbsp;&nbsp;**/pub/login.do,**/pub/leftMenu.do &nbsp;&nbsp;&nbsp;&lt;/param-value&gt; &nbsp;&nbsp;&lt;/init-param&gt; &nbsp;&nbsp; &nbsp;&lt;/filter&gt; &nbsp;&lt;filter-mapping&gt;&nbsp; &nbsp;&nbsp;&lt;filter-name&gt;authorityInterceptorFilter&lt;/filter-name&gt;&nbsp;&nbsp; &nbsp;&nbsp;&lt;url-pattern&gt;*.do&lt;/url-pattern&gt; &nbsp;&lt;/filter-mapping&gt; ... &nbsp; </td> 
 </tr> 
 </tbody> 
</table>

这样，在就可以实现对权限资源的拦截控制。

[0_1328146204oo61.gif]: /images/20220616/157259525dc14ea8bff8be15f9b34fff.png
[http_blog.csdn.net_yan_dk_article_details_7228167]: http://blog.csdn.net/yan_dk/article/details/7228167