锐客网

  1. 首页 > 睿知 > it技术 > >

笔记|如何在若依中做数据权限

java后端笔记开发语言

前言： 若依是一个很不错的入门级后台管理系统，它里边的好多精妙绝伦的结构设计和代码规范都是值得我们学习的。今天要研究的就是他的数据权限这一块儿的东西，还记得刚接触若依的时候点开角色管理的数据权限都不敢操作了…… 若依中的数据权限实现逻辑： 在若依中处理数据权限的时候，它非常巧妙的利用AOP+注解的方式把SQL切入到参数中，进而影响最终的SQL语句。那么我们现在解读一下它的源码（各个版本的java文件位置可能会有变动，找不见的同学可以全局搜索类名查找）：

/** * 数据权限过滤注解 * * @author ruoyi */ @Target(ElementType.METHOD) @Retention(RetentionPolicy.RUNTIME) @Documented public @interface DataScope { /** * 部门表的别名 */ public String deptAlias() default ""; /** * 用户表的别名 */ public String userAlias() default ""; }

/** * 数据过滤处理 * * @author quanxingyi */ @Aspect @Component public class DataScopeAspect { /** * 全部数据权限 */ public static final String DATA_SCOPE_ALL = "1"; /** * 自定数据权限 */ public static final String DATA_SCOPE_CUSTOM = "2"; /** * 部门数据权限 */ public static final String DATA_SCOPE_DEPT = "3"; /** * 部门及以下数据权限 */ public static final String DATA_SCOPE_DEPT_AND_CHILD = "4"; /** * 仅本人数据权限 */ public static final String DATA_SCOPE_SELF = "5"; /** * 数据权限过滤关键字 */ public static final String DATA_SCOPE = "dataScope"; // 配置织入点 @Pointcut("@annotation(com.quanxingyi.framework.aspectj.lang.annotation.DataScope)") public void dataScopePointCut() { }@Before("dataScopePointCut()") public void doBefore(JoinPoint point) throws Throwable { handleDataScope(point); }protected void handleDataScope(final JoinPoint joinPoint) { // 获得注解 DataScope controllerDataScope = getAnnotationLog(joinPoint); if (controllerDataScope == null) { return; } // 获取当前的用户 User currentUser = ShiroUtils.getSysUser(); if (currentUser != null) { // 如果是超级管理员，则不过滤数据 if (!currentUser.isAdmin()) { dataScopeFilter(joinPoint, currentUser, controllerDataScope.deptAlias(), controllerDataScope.userAlias()); } } }/** * 数据范围过滤 * * @param joinPoint 切点 * @param user 用户 * @param deptAlias 部门别名 * @param userAlias 用户别名 */ public static void dataScopeFilter(JoinPoint joinPoint, User user, String deptAlias, String userAlias) { StringBuilder sqlString = new StringBuilder(); for (Role role : user.getRoles()) { String dataScope = role.getDataScope(); if (DATA_SCOPE_ALL.equals(dataScope)) { sqlString = new StringBuilder(); break; } else if (DATA_SCOPE_CUSTOM.equals(dataScope)) { sqlString.append(StringUtils.format( " OR {}.dept_id IN ( SELECT dept_id FROM sys_role_dept WHERE role_id = {} ) ", deptAlias, role.getRoleId())); } else if (DATA_SCOPE_DEPT.equals(dataScope)) { sqlString.append(StringUtils.format(" OR {}.dept_id = {} ", deptAlias, user.getDeptId())); } else if (DATA_SCOPE_DEPT_AND_CHILD.equals(dataScope)) { sqlString.append(StringUtils.format( " OR {}.dept_id IN ( SELECT dept_id FROM sys_dept WHERE dept_id = {} or find_in_set( {} , ancestors ) )", deptAlias, user.getDeptId(), user.getDeptId())); } else if (DATA_SCOPE_SELF.equals(dataScope)) { if (StringUtils.isNotBlank(userAlias)) { sqlString.append(StringUtils.format(" OR {}.user_id = {} ", userAlias, user.getUserId())); } else { // 数据权限为仅本人且没有userAlias别名不查询任何数据 sqlString.append(" OR 1=0 "); } } }if (StringUtils.isNotBlank(sqlString.toString())) { Object params = joinPoint.getArgs()[0]; if (StringUtils.isNotNull(params) && params instanceof BaseEntity) { BaseEntity baseEntity = (BaseEntity) params; baseEntity.getParams().put(DATA_SCOPE, " AND (" + sqlString.substring(4) + ")"); } } }/** * 是否存在注解，如果存在就获取 */ private DataScope getAnnotationLog(JoinPoint joinPoint) { Signature signature = joinPoint.getSignature(); MethodSignature methodSignature = (MethodSignature) signature; Method method = methodSignature.getMethod(); if (method != null) { return method.getAnnotation(DataScope.class); } return null; } }

以上是若依定义的数据权限注解和AOP方法，这里简单解读一下源码逻辑。AOP 类中定义注解切点，然后在目标方法执行前先从Shiro中获取到用户信息，然后获取用户的所有角色，遍历这些角色，从角色上取到数据范围，针对不同的数据范围拼接出不同的SQL，然后把SQL存入到BaseEntity类的params属性中。
/** * 根据条件分页查询用户列表 * * @param user 用户信息 * @return 用户信息集合信息 */ @Override @DataScope(deptAlias = "d", userAlias = "u") public List selectUserList(User user) { // 生成数据权限过滤条件 return userMapper.selectUserList(user); }

id="selectUserList" parameterType="User" resultMap="UserResult"> select u.user_id, u.dept_id, u.login_name, u.user_name, u.user_type, u.email, u.avatar, u.phonenumber, u.password, u.sex, u.salt, u.status, u.del_flag, u.login_ip, u.login_date, u.create_by, u.create_time, u.remark,u.shop_id, d.dept_name, d.leader,s.shop_name from sys_user u left join sys_dept d on u.dept_id = d.dept_id left joinshop_infos onu.shop_id= s.id where u.del_flag = '0' AND u.login_name like concat('%', #{loginName}, '%') AND u.status = #{status} AND u.shop_id = #{shopId} AND u.user_type = #{userType} AND u.phonenumber like concat('%', #{phonenumber}, '%') AND date_format(u.create_time,'%y%m%d') > = date_format(#{params.beginTime},'%y%m%d') AND date_format(u.create_time,'%y%m%d') < = date_format(#{params.endTime},'%y%m%d') AND (u.dept_id = #{deptId} OR u.dept_id IN ( SELECT t.dept_id FROM sys_dept t WHERE FIND_IN_SET (#{deptId},ancestors) )) ${params.dataScope}

使用时只需要在目标方法上加上注解，并在xml文件中的sql最末尾处追加${params.dataScope}就可以了。
自己改编后的具体运用方式： 以上就是若依源码的逻辑。但是，我们使用若依自动生成的代码中，xml文件中的SQL与上面的SQL区别太大了（最明显的别名问题，我们自己生成出来的SQL是没有别名的），它的SQL是连表查询，已经在SQL中写死了，如果我们每次需要做数据权限的时候都大改XML的话代价也太大了，也容易出错。于是我就又写了一个切点出来：
/** * 自己写的数据权限注解 * @author ren * @description * @date 2022年01月21日 13:32:33 */ @Target(ElementType.METHOD) @Retention(RetentionPolicy.RUNTIME) @Documented public @interface MyDataScope { }

/** * 数据过滤处理 * * @author ruoyi */ @Aspect @Component public class DataScopeAspect { /** * 全部数据权限 */ public static final String DATA_SCOPE_ALL = "1"; /** * 自定数据权限 */ public static final String DATA_SCOPE_CUSTOM = "2"; /** * 部门数据权限 */ public static final String DATA_SCOPE_DEPT = "3"; /** * 部门及以下数据权限 */ public static final String DATA_SCOPE_DEPT_AND_CHILD = "4"; /** * 仅本人数据权限 */ public static final String DATA_SCOPE_SELF = "5"; /** * 数据权限过滤关键字 */ public static final String DATA_SCOPE = "dataScope"; @Before("@annotation(controllerDataScope)") public void doBefore(JoinPoint point, DataScope controllerDataScope) throws Throwable { clearDataScope(point); handleDataScope(point, controllerDataScope); }@Before("@annotation(myDataScope)") public void doMyBefore(JoinPoint point, MyDataScope myDataScope) throws Throwable { clearDataScope(point); handleDataScope(point, myDataScope); }protected void handleDataScope(final JoinPoint joinPoint, Object dataScope) { // 获取当前的用户 SysUser currentUser = ShiroUtils.getSysUser(); if (currentUser != null) { // 如果是超级管理员，则不过滤数据 if (!currentUser.isAdmin()) { if(dataScope instanceof DataScope){ DataScope controllerDataScope = (DataScope)dataScope; dataScopeFilter(joinPoint, currentUser, controllerDataScope.deptAlias(), controllerDataScope.userAlias()); }else if(dataScope instanceof MyDataScope){ dataScopeFilter(joinPoint, currentUser); } } } }/** * 数据范围过滤 * * @param joinPoint 切点 * @param user 用户 * @param deptAlias 部门别名 * @param userAlias 用户别名 */ public static void dataScopeFilter(JoinPoint joinPoint, SysUser user, String deptAlias, String userAlias) { StringBuilder sqlString = new StringBuilder(); for (SysRole role : user.getRoles()) { String dataScope = role.getDataScope(); if (DATA_SCOPE_ALL.equals(dataScope)) { sqlString = new StringBuilder(); break; } else if (DATA_SCOPE_CUSTOM.equals(dataScope)) { sqlString.append(StringUtils.format( " OR {}.dept_id IN ( SELECT dept_id FROM sys_role_dept WHERE role_id = {} ) ", deptAlias, role.getRoleId())); } else if (DATA_SCOPE_DEPT.equals(dataScope)) { sqlString.append(StringUtils.format(" OR {}.dept_id = {} ", deptAlias, user.getDeptId())); } else if (DATA_SCOPE_DEPT_AND_CHILD.equals(dataScope)) { sqlString.append(StringUtils.format( " OR {}.dept_id IN ( SELECT dept_id FROM sys_dept WHERE dept_id = {} or find_in_set( {} , ancestors ) )", deptAlias, user.getDeptId(), user.getDeptId())); } else if (DATA_SCOPE_SELF.equals(dataScope)) { if (StringUtils.isNotBlank(userAlias)) { sqlString.append(StringUtils.format(" OR {}.user_id = {} ", userAlias, user.getUserId())); } else { // 数据权限为仅本人且没有userAlias别名不查询任何数据 sqlString.append(" OR 1=0 "); } } }if (StringUtils.isNotBlank(sqlString.toString())) { Object params = joinPoint.getArgs()[0]; if (StringUtils.isNotNull(params) && params instanceof BaseEntity) { BaseEntity baseEntity = (BaseEntity) params; baseEntity.getParams().put(DATA_SCOPE, " AND (" + sqlString.substring(4) + ")"); } } }/** * 数据范围过滤 * * @param joinPoint 切点 * @param user 用户 */ public static void dataScopeFilter(JoinPoint joinPoint, SysUser user) { StringBuilder sqlString = new StringBuilder(); for (SysRole role : user.getRoles()) { String dataScope = role.getDataScope(); if (DATA_SCOPE_ALL.equals(dataScope))//全部数据权限 { sqlString = new StringBuilder(); break; } else if (DATA_SCOPE_CUSTOM.equals(dataScope))//自定数据权限 { sqlString.append(StringUtils.format( " OR dept_id IN ( SELECT dept_id FROM sys_role_dept WHERE role_id = {} ) ", role.getRoleId())); } else if (DATA_SCOPE_DEPT.equals(dataScope))//部门数据权限 { sqlString.append(StringUtils.format(" OR dept_id = {} ", user.getDeptId())); } else if (DATA_SCOPE_DEPT_AND_CHILD.equals(dataScope))//部门及以下数据权限 { sqlString.append(StringUtils.format( " OR dept_id IN ( SELECT dept_id FROM sys_dept WHERE dept_id = {} or find_in_set( {} , ancestors ) )", user.getDeptId(), user.getDeptId())); } else if (DATA_SCOPE_SELF.equals(dataScope))//仅本人数据权限 { sqlString.append(StringUtils.format(" OR create_user_id = {} ", user.getUserId())); } }if (StringUtils.isNotBlank(sqlString.toString())) { Object params = joinPoint.getArgs()[0]; if (StringUtils.isNotNull(params) && params instanceof BaseEntity) { BaseEntity baseEntity = (BaseEntity) params; baseEntity.getParams().put(DATA_SCOPE, " AND (" + sqlString.substring(4) + ")"); } } }/** * 拼接权限sql前先清空params.dataScope参数防止注入 */ private void clearDataScope(final JoinPoint joinPoint) { Object params = joinPoint.getArgs()[0]; if (StringUtils.isNotNull(params) && params instanceof BaseEntity) { BaseEntity baseEntity = (BaseEntity) params; baseEntity.getParams().put(DATA_SCOPE, ""); } } }

这里我们自定义一个注解，然后新加了一个切点进来（这个示例和之前的例子不一样是因为两个版本，但他们的操作逻辑是一样的），然后新写了一个dataScopeFilter方法，重新组织了一下SQL的拼接。
/** * 查询商品列表 * * @param goods 商品 * @return 商品 */ @Override @MyDataScope public List selectGoodsList(Goods goods) { return goodsMapper.selectGoodsList(goods); }

id="selectGoodsVo"> select id, create_date, create_user, create_user_id, dept_id, goods_name, goods_price from goods id="selectGoodsList" parameterType="Goods" resultMap="GoodsResult"> and goods_name like concat('%', #{goodsName}, '%') ${params.dataScope}

笔记|如何在若依中做数据权限
文章图片

使用的时候也是直接在目标方法上加上注解就可以，也是在XML文件中SQL语句的后面追加${params.dataScope}，这样做的好处就是我们的XML不用做太大改变，亲测有效，包括多角色也是支持的。为了一劳永逸，我们可以修改代码生成的vm文件，一般情况下只是做列表查询时才需要做数据权限，所以我们只改这两个地方就可以：
serviceImpl.java.vm文件中上面加上导包的代码，下面加上我们自定义的注解
package ${packageName}.service.impl; import java.util.List; import org.kangjia.common.annotation.MyDataScope; #if($table.tree) ......

/** * 查询${functionName}列表 * * @param ${className} ${functionName} * @return ${functionName} */ @Override @MyDataScope public List<${ClassName}> select${ClassName}List(${ClassName} ${className}) { return ${className}Mapper.select${ClassName}List(${className}); }

mapper.xml.vm文件中只需要在查询列表的select中追加${params.dataScope}就好
id="select${ClassName}List" parameterType="${ClassName}" resultMap="${ClassName}Result"> #foreach($column in $columns) #set($queryType=$column.queryType) #set($javaField=$column.javaField) #set($javaType=$column.javaType) #set($columnName=$column.columnName) #set($AttrName=$column.javaField.substring(0,1).toUpperCase() + ${column.javaField.substring(1)}) #if($column.query) #if($column.queryType == "EQ") and $columnName = #{$javaField} #elseif($queryType == "NE") and $columnName != #{$javaField} #elseif($queryType == "GT") and $columnName > #{$javaField} #elseif($queryType == "GTE") and $columnName > = #{$javaField} #elseif($queryType == "LT") and $columnName < #{$javaField} #elseif($queryType == "LTE") and $columnName < = #{$javaField} #elseif($queryType == "LIKE") and $columnName like concat('%', #{$javaField}, '%') #elseif($queryType == "BETWEEN") and $columnName between #{params.begin$AttrName} and #{params.end$AttrName} #end #end #end ${params.dataScope} #if($table.tree) order by ${tree_parent_code} #end

需要注意的点： 如果理解了以上的内容，那么你就可以自己在若依中自定义数据权限了，或者掌握精髓后可以自己设计一套如此的数据权限模块。这里给大家留个拓展，必要的时候可以给@MyDataScope加属性，然后在DataScopeAspect中动态决定什么条件下即时有权限也不能访问数据。 【笔记|如何在若依中做数据权限】最后给大家说几点需要注意的：
  • 加注解的方法的参数必须是BaseEntity类型或是它的子类
  • 我们的数据库表结构必须要有的字段：create_user_id 和 dept_id （字段名可以修改但必须和我们重载的dataScopeFilter方法中的SQL字段一致）

    推荐阅读


    上一篇：权限管理之数据权限（若依框架）

    下一篇：若依ruoyiAOP切面用于数据过滤和权限处理实例