怎样用Java Interceptor实现权限控制

在Java中，使用拦截器（Interceptor）实现权限控制是一种常见的做法。拦截器可以在方法调用前后执行一些逻辑，因此可以用来检查用户是否有权限执行某个操作。以下是一个简单的示例，展示如何使用Spring框架中的拦截器来实现权限控制。

1. 创建一个拦截器类

首先，创建一个实现HandlerInterceptor接口的拦截器类。

import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class AuthInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 获取当前用户信息，可以从Session或Token中获取
        String username = (String) request.getSession().getAttribute("username");

        // 检查用户是否有权限
        if (username == null || !hasPermission(username, request.getRequestURI())) {
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "Access Denied");
            return false;
        }

        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        // 请求处理之后进行调用（Controller方法调用之后）
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        // 在整个请求结束之后被调用，也就是在DispatcherServlet 渲染了对应的视图之后执行（主要是用于进行资源清理工作）
    }

    private boolean hasPermission(String username, String requestURI) {
        // 这里可以实现具体的权限检查逻辑
        // 例如，从数据库中查询用户的权限，或者使用注解等方式进行权限控制
        // 简单示例：假设所有用户都有权限访问以"/public/"开头的URL
        return requestURI.startsWith("/public/") || "admin".equals(username);
    }
}

2. 配置拦截器

接下来，在Spring配置文件中注册拦截器，并指定需要拦截的URL模式。

使用Java配置

如果你使用的是Java配置，可以在配置类中添加拦截器的配置。

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new AuthInterceptor())
                .addPathPatterns("/**")  // 拦截所有请求
                .excludePathPatterns("/public/**", "/login", "/register");  // 排除不需要拦截的URL
    }
}

使用XML配置

如果你使用的是XML配置，可以在spring-mvc.xml文件中添加拦截器的配置。

<mvc:interceptors>
    <mvc:interceptor>
        <mvc:mapping path="/**"/>
        <mvc:exclude-mapping path="/public/**"/>
        <mvc:exclude-mapping path="/login"/>
        <mvc:exclude-mapping path="/register"/>
        <bean class="com.example.interceptor.AuthInterceptor"/>
    </mvc:interceptor>
</mvc:interceptors>

3. 测试拦截器

现在，你可以启动你的Spring应用，并测试拦截器是否正常工作。尝试访问需要权限的URL，看看是否会被拦截并返回403错误。

通过这种方式，你可以使用Java拦截器实现基本的权限控制。根据实际需求，你可以进一步扩展拦截器的逻辑，例如从数据库中查询用户的权限，或者使用注解等方式进行更细粒度的权限控制。