Shiro實現用戶對動態資源細粒度的權限校驗

本文轉載自查看原文 2019-09-07 21:36 786 java

前言

在實際系統應用中，普遍存在這樣的一種業務場景，需要實現用戶對要訪問的資源進行動態權限校驗。
譬如，在某平台的商家系統中，存在商家、品牌、商品等業務資源。它們之間的關系為：一個商家可以擁有多個品牌，一個品牌下可以擁有多個商品。

一個商家用戶可以擁有多個賬戶，每個賬戶擁有不同級別的權限。
例如，小王負責商家A下的所有資源的運營工作，小張負責品牌A和品牌A下所有商品的運營工作。而小李負責品牌B

Shiro本身提供了RequiresAuthentication、RequiresPermissions和RequiresRoles等注解用於實現靜態權限認證，
但不適合對於這種細粒度的動態資源的權限認證校驗。基於以上描述，這篇文章就是補充了一種對細粒度動態資源的訪問權限校驗。

大概的設計思路

1.新增一個自定義注解Permitable，用於將資源轉換為shiro的權限表示字符串(支持SpEL表達式)
2.新增加一個AOP切面，用於將自定義注解標注的方法和Shiro權限校驗關聯起來
3.校驗當前用戶是否擁有足夠的權限去訪問受保護的資源

編碼實現

1、新建PermissionResolver接口

import java.util.Collections;
import java.util.List;
import java.util.Optional;

import static java.util.stream.Collectors.toList;

/**
 * 資源權限解析器
 *
 * @author wuyue
 * @since 1.0, 2019-09-07
 */
public interface PermissionResolver {

    /**
     * 解析資源
     *
     * @return 資源的權限表示字符串
     */
    String resolve();

    /**
     * 批量解析資源
     */
    static List<String> resolve(List<PermissionResolver> list) {
        return Optional.ofNullable(list).map(obj -> obj.stream().map(PermissionResolver::resolve).collect(toList()))
                .orElse(Collections.emptyList());
    }

}

2、新增業務資源實體類，並實現PermissionResolver接口，此處以商品資源為例，例如新建Product.java

import com.wuyue.shiro.shiro.PermissionResolver;
import lombok.Getter;
import lombok.Setter;
import lombok.ToString;
import org.hibernate.annotations.GenericGenerator;

import javax.persistence.*;
import java.util.Date;

@Getter
@Setter
@ToString
@Entity
@Table(name = "product")
public class Product implements PermissionResolver {

    @Override
    public String resolve() {
        return merchantId + ":" + brandId + ":" + id;
    }

    @Id
    @GenericGenerator(name = "idGen", strategy = "uuid")
    @GeneratedValue(generator = "idGen")
    private String id;

    @Column(name = "merchant_id")
    private String merchantId;

    @Column(name = "brand_id")
    private String brandId;

    @Column(name = "name")
    private String name;

    @Column(name = "create_time")
    private Date createTime;

    @Column(name = "update_time")
    private Date updateTime;

}

3、新增自定義注解Permitable

import java.lang.annotation.*;

/**
 * 自定義細粒度權限校驗注解，配合SpEL表達式使用
 */
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface Permitable {

    /**
     * 前置校驗資源權限表達式
     *
     * @return 資源的權限字符串表示(如“字節跳動”下的“抖音”可以表達為BYTE_DANCE:TIK_TOK)
     */
    String pre() default "";

    /**
     * 后置校驗資源權限表達式
     *
     * @return
     */
    String post() default "";

}

4、新增權限校驗切面

import lombok.extern.slf4j.Slf4j;
import org.aopalliance.intercept.MethodInterceptor;
import org.apache.commons.lang3.StringUtils;
import org.apache.shiro.SecurityUtils;
import org.springframework.aop.support.StaticMethodMatcherPointcutAdvisor;
import org.springframework.context.expression.MethodBasedEvaluationContext;
import org.springframework.core.DefaultParameterNameDiscoverer;
import org.springframework.core.annotation.AnnotationUtils;
import org.springframework.expression.EvaluationContext;
import org.springframework.expression.spel.standard.SpelExpressionParser;

import java.lang.annotation.Annotation;
import java.lang.reflect.Method;
import java.util.List;

/**
 * 靜態自定義權限認證切面
 */
@Slf4j
public class PermitAdvisor extends StaticMethodMatcherPointcutAdvisor {

    private static final Class<? extends Annotation>[] AUTHZ_ANNOTATION_CLASSES =
            new Class[] {
                    Permitable.class
            };

    public PermitAdvisor(SpelExpressionParser parser) {
        // 構造一個通知，當方法上有加入Permitable注解時，會觸發此通知執行權限校驗
        MethodInterceptor advice = mi -> {
            Method method = mi.getMethod();
            Object targetObject = mi.getThis();
            Object[] args = mi.getArguments();
            Permitable permitable = method.getAnnotation(Permitable.class);
            // 前置權限認證
            checkPermission(parser, permitable.pre(), method, args, targetObject, null);
            Object proceed = mi.proceed();
            // 后置權限認證
            checkPermission(parser, permitable.post(), method, args, targetObject, proceed);
            return proceed;
        };
        setAdvice(advice);
    }

    /**
     * 匹配加了Permitable注解的方法，用於通知權限校驗
     */
    @Override
    public boolean matches(Method method, Class<?> targetClass) {
        Method m = method;

        if (isAuthzAnnotationPresent(m)) {
            return true;
        }
        return false;
    }

    private boolean isAuthzAnnotationPresent(Method method) {
        for (Class<? extends Annotation> annClass : AUTHZ_ANNOTATION_CLASSES) {
            Annotation a = AnnotationUtils.findAnnotation(method, annClass);
            if ( a != null ) {
                return true;
            }
        }
        return false;
    }

    /**
     * 動態權限認證
     */
    private void checkPermission(SpelExpressionParser parser, String expr,
                                 Method method, Object[] args, Object target, Object result){

        if (StringUtils.isBlank(expr)){
            return;
        }

        // 解析SpEL表達式，獲得資源的權限表示字符串
        Object resources = parser.parseExpression(expr)
                .getValue(createEvaluationContext(method, args, target, result), Object.class);

        // 調用Shiro進行權限校驗
        if (resources instanceof String) {
            SecurityUtils.getSubject().checkPermission((String) resources);
        } else if (resources instanceof List){
            List<Object> list = (List) resources;
            list.stream().map(obj -> (String) obj).forEach(SecurityUtils.getSubject()::checkPermission);
        }
    }

    /**
     * 構造SpEL表達式上下文
     */
    private EvaluationContext createEvaluationContext(Method method, Object[] args, Object target, Object result) {
        MethodBasedEvaluationContext evaluationContext = new MethodBasedEvaluationContext(
                target, method, args, new DefaultParameterNameDiscoverer());
        evaluationContext.setVariable("result", result);
        try {
            evaluationContext.registerFunction("resolve", PermissionResolver.class.getMethod("resolve", List.class));
        } catch (NoSuchMethodException e) {
            log.error("Get method error:", e);
        }
        return evaluationContext;
    }

}

5、實現對用戶的授權

    /**
     * 授權
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        Map<String, Object> principal = (Map<String, Object>) principals.getPrimaryPrincipal();
        String accountId = (String) principal.get("accountId");

        // 擁有的商家資源權限
        List<AccountMerchantLink> merchantLinks = accountService.findMerchantLinks(accountId);
        Set<String> merchantPermissions = merchantLinks.stream().map(AccountMerchantLink::getMerchantId).collect(toSet());
        SimpleAuthorizationInfo authzInfo = new SimpleAuthorizationInfo();
        authzInfo.addStringPermissions(merchantPermissions);

        // 擁有的品牌資源權限
        List<AccountBrandLink> brandLinks = accountService.findBrandLinks(accountId);
        Set<String> brandPermissions = brandLinks.stream().map(link -> link.getMerchantId() + ":" + link.getBrandId()).collect(toSet());
        authzInfo.addStringPermissions(brandPermissions);

        return authzInfo;
    }

6、自定義注解的應用

6.1、根據id獲取商家信息

    @Permitable(pre = "#id")
    @Override
    public Optional<Merchant> findById(String id) {
        if (StringUtils.isBlank(id)) {
            return Optional.empty();
        }
        return merchantDao.findById(id);
    }

6.2、根據id獲取商品信息

    @Permitable(post = "#result?.get().resolve()")
    @Override
    public Optional<Product> findById(String id) {
        if (StringUtils.isBlank(id)) {
            return Optional.empty();
        }
        return productDao.findById(id);
    }

6.3、查找品牌下的商品列表

    @Permitable(post = "#resolve(#result)")
    @Override
    public List<Product> findByBrandId(String brandId) {
        if (StringUtils.isBlank(brandId)) {
            return Collections.emptyList();
        }
        return productDao.findByBrandId(brandId);
    }