java通过isAccessAllowed方法实现访问控制_开发_开发者

相关框架和类简介

在开始详细解析代码之前，先简单介绍一下相关的框架和类。

Apache Shiro：一个强大且易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。本文中的 isAccessAllowed 方法就是Shiro框架的一部分。
Subject 类：Shiro中的核心类，代表当前运行的用户。通过这个类可以获取用户的身份信息、权限信息等。
Principal：表示当前用户的身份信息，例如用户名或用户对象。

代码概述

以下是我们讨论的核心代码段：

@Override
protected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object mappedValue) {
    Subject subjavascriptject = getSubject(servletRequest, servletResponse);
    Object principal = subject != null ? subject.getPrincipal() : null;
    Class<? extends User> userClass = getUserClass(servletRequest, servletResponse);

    if (principal != null && (userClass == null || !userClass.isAssignableFrom(principal.getClass()))) {
        return false;
    }

    return super.isAccessAllowed(servletRequest, servletResponse, mappedValue);
}

方法签名解析

@Override：表示这个方法重写了父类的方法。
ServletRequest 和 ServletResponse：分别表示HTTP请求和响应。
Object mappedValue：通常是Shiro配置中定义的值，用于辅助权限判断。

主要逻辑解析

获取当前用户：
```
Subject subject = getSubject(servletRequest, servletResponse);
Object principal = subject != null ? subject.getPrincipal() : null;
```
- getSubject 方法获取当前请求的用户。
- 如果用户不为空，getPrincipal 方法获取用户的身份信息（通常是用户名或用户对象）。
获取请求的用户类型：
```
Class<? extends User> userClass = getUserClass(servletRequest, servletRespjavascriptonse);
```
- getUserClass 方法获取当前请求对应的用户类型（例如会员、商家等）。
权限判断：
```
if (principal != null && (userClass == null || !userClass.isAssignableFrom(principal.getClass()))) {
    return false;
}
```
- 如果用户存在 (principal != nvEfuWzXzRnull) 且请求的用户类型不为空 (userClass != null)，并且当前用户的类型不是请求的用户类型 (!userClass.isAssignableFrom(principal.getClass()))，则返回 false，表示不允许访问。
调用父类的权限判断：
```
return super.isAccessAllowed(servletRequest, servletResponse, mappedValue);
```
- 如果上述条件不满足，则调用父类的 isAccessAllowed 方法http://www.devze.com进行进一步的权限判断。

安全性分析

principal 是通过 getSubject(servletRequest, servletResponse).getPrincipal() 获取的，它代表当前用户的身份信息。这个身份信息通常是在用户通过登录认证后，由后台系统（如Shiro）管理并存储的。

获取 principal 的过程：

用户登录：
- 用户在前端页面输入用户名和密码进行登录。
- 后端验证用户名和密码正确后，会创建一个用户会话，并将用户信息（principal）存储在会话中。
获取 Subject：
- getSubject(servlnvEfuWzXzRetRequest, servletResponse) 方法从当前请求中获取与会话关联的 Subject 对象。
- Subject 对象包含当前用户的身份信息和权限信息。
获取 principal：
- subject.getPrincipal() 获取当前用户的身份信息。这个信息是在用户成功登录后存储在 Subject 中的，通常是由后台系统管理的用户对象或用户名。

安全措施（续）

会话管理（续）：
- 用户登录成功后，系统会为用户创建一个唯一的会话（Session），并将用户的身份信息（principal）存储在会话中。
- 每次请求都会携带会话ID，系统根据会话ID获取存储的用户信息。
Token认证：
- 使用JWT（jsON Web Token）等方式，在用户登录成功后生成一个Token，包含用户的身份信息。
- 每次请求携带Token，后台会验证Token的有效性和完整性。
加密和签名：
- 身份信息和Token在传输过程中使用加密技术（如HTTPS）进行保护，防止被窃听或篡改。
- 使用数字签名来确保Token的完整性和不可伪造性。
HttpOnly和Secure标志：
- 设置会话Cookie的HttpOnly标志，防止javascript访问Cookie。
- 设置Secure标志，确保Cookie只在HTTPS连接中传输。

示例代码

为了更好地理解 isAccessAllowed 方法的实现，这里提供一个完整的示例代码，包括如何获取和校验 principal。

import org.apache.shiro.subject.Subject;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;

public class CustoMACcessControl extends SomeShiroFilterBaseClass {

    @Override
    protected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object mappedValue) {
        Subject subject = getSubject(servletRequest, servletResponse);
        Object principal = subject != null ? subject.getPrincipal() : null;
        Class<? extends User> userClass = getUserClass(servletRequest, servletResponse);

        if (principal != null && (userClass == null || !userClass.isAssignableFrom(principal.getClass()))) {
            return false;
        }

        return super.isAccessAllowed(servletRequest, servletResponse, mappedValue);
    }

    // 获取用户类型的方法示例
    private Class<? extends User> getUserClass(ServletRequest request, ServletResponse response) {
        // 假设从请求中获取用户类型参数
        String userType = request.getParameter("userType");
        if ("member".equals(userType)) {
            return Member.class;
        } else if ("merchant".equals(userType)) {
            return Merchant.class;
        }
        return null;
    }
}