interceptor拦截登录权限

开发运维 2023-09-16 宇宙之一粟手机阅读

前面我们对某些请求url中的处理逻辑前加了身份验证和权限检查，我们采用最low的形式：每个方法中自己判断一遍，本节我们将使用另一种拦截机制来实现统一的登录权限拦截。

我们只希望拦截一些需要检查的controller请求url，而对于其他资源的请求都不拦截；并且我们希望在拦截处理逻辑中抛出异常的情况下，最终可以被处理目标controller执行方法的异常处理器所处理。因此，基于这样的需求，我们很显然想到用spring mvc家族中的重要一员——interceptor（拦截器）。

定义拦截器

这里我们没有实现拦截器接口HandlerInterceptor，因为用HandlerInterceptorAdapter的好处是，我们只需要关注要重写的方法：

package com.xiaojuan.boot.web.interceptor;

import ...

public class BasicAuthInterceptor extends HandlerInterceptorAdapter {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        return super.preHandle(request, response, handler);
    }
}

实现BasicAuthInterceptor

package com.xiaojuan.boot.web.interceptor;

import ...

@Slf4j
public class BasicAuthInterceptor extends HandlerInterceptorAdapter {

    private final List needLoginUrlPatterns;
    private final List needAdminRoleUrlPatterns;

    private AntPathMatcher antPathMatcher;

    @Resource
    private UserService userService;

    public BasicAuthInterceptor() {
        needLoginUrlPatterns = new ArrayList();
        needAdminRoleUrlPatterns = new ArrayList();

        needLoginUrlPatterns.add("/user/profile");
        needLoginUrlPatterns.add("/user/signature");
        needLoginUrlPatterns.add("/admin/**");

        // 是needLoginUrlPatterns的子集
        needAdminRoleUrlPatterns.add("/admin/**");

        antPathMatcher = new AntPathMatcher();
    }

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {

        String uri = request.getRequestURI();
        UserInfoDTO userInfo = (UserInfoDTO) WebRequestUtil.getSessionAttribute(SessionConst.LOGIN_USER);
        if (matchUri(uri, needLoginUrlPatterns) && userInfo == null) {
            throw new BusinessException("需要登录才能访问", BusinessError.NO_LOGIN.getValue());
        }
        if (matchUri(uri, needAdminRoleUrlPatterns)) {
            userService.checkAdminRole(userInfo.getRole(), null);
        }

        return true;
    }

    private boolean matchUri(String uri, List patterns) {
        for (String pattern : patterns) {
            if (antPathMatcher.match(pattern, uri)) return true;
        }
        return false;
    }
}

代码说明

对于要过滤的请求地址，这里我们维护了两个列表，一个代表所有要登录检查的url模式，一个代表在登录前提下要检查的管理员角色url模式，很显然，后者是前者的子集。

我们可以在当前类中直接注入需要的服务组件UserService，因为我们将会用@Bean的形式来实例化它，把它注册到Spring容器中。

这里的请求url的模式匹配，我们使用了AntPathMatcher类，比如我们可以用这种模式：/**/admin/**来匹配/juan_mall/product/admin/category/add这样的请求uri。

拦截到目标请求后，我们要在实际业务处理前，先做一些校验工作，可以重写HandlerInterceptor的preHandle方法，该方法如果校验失败，我们可以返回false，也可以抛出异常，如果请求url匹配到目标controller方法，会被拦截的全局异常处理器处理。只要返回true则表示放行，会由后面的controller来处理。

配置拦截器

定义一个WebConfig配置类，在其中通过@Bean注解一个实例化bean的方法，从而让实例化出来的bean交给spring容器管理，这样我们就可以在BasicAuthInterceptor中注入其他bean依赖了。

package com.xiaojuan.boot.web;

import ...

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Bean
    public BasicAuthInterceptor basicAuthInterceptor() {
        return new BasicAuthInterceptor();
    }

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(basicAuthInterceptor()).addPathPatterns("/user/**", "/admin/**");
    }
}

然后，我们实现WebMvcConfigurer的addInterceptors来注册拦截器，并指定拦截器要拦截的请求路径模式。