java通过isAccessAllowed方法实现访问控制_Java

在web应用开发中，确保用户的访问权限是至关重要的。本文将详细讲解一个自定义的 isaccessallowed 方法是如何实现这一功能的。我们将逐步解析这段代码，并探讨它的安全性和实现细节。

相关框架和类简介

在开始详细解析代码之前，先简单介绍一下相关的框架和类。

apache shiro：一个强大且易用的java安全框架，提供了认证、授权、加密和会话管理等功能。本文中的 isaccessallowed 方法就是shiro框架的一部分。
subject 类：shiro中的核心类，代表当前运行的用户。通过这个类可以获取用户的身份信息、权限信息等。
principal：表示当前用户的身份信息，例如用户名或用户对象。

代码概述

以下是我们讨论的核心代码段：

@override
protected boolean isaccessallowed(servletrequest servletrequest, servletresponse servletresponse, object mappedvalue) {
    subject subject = getsubject(servletrequest, servletresponse);
    object principal = subject != null ? subject.getprincipal() : null;
    class<? extends user> userclass = getuserclass(servletrequest, servletresponse);

    if (principal != null && (userclass == null || !userclass.isassignablefrom(principal.getclass()))) {
        return false;
    }

    return super.isaccessallowed(servletrequest, servletresponse, mappedvalue);
}

方法签名解析

@override：表示这个方法重写了父类的方法。
servletrequest 和 servletresponse：分别表示http请求和响应。
object mappedvalue：通常是shiro配置中定义的值，用于辅助权限判断。

主要逻辑解析

获取当前用户：
```
subject subject = getsubject(servletrequest, servletresponse);
object principal = subject != null ? subject.getprincipal() : null;
```
- getsubject 方法获取当前请求的用户。
- 如果用户不为空，getprincipal 方法获取用户的身份信息（通常是用户名或用户对象）。
获取请求的用户类型：
```
class<? extends user> userclass = getuserclass(servletrequest, servletresponse);
```
- getuserclass 方法获取当前请求对应的用户类型（例如会员、商家等）。
权限判断：
```
if (principal != null && (userclass == null || !userclass.isassignablefrom(principal.getclass()))) {
    return false;
}
```
- 如果用户存在 (principal != null) 且请求的用户类型不为空 (userclass != null)，并且当前用户的类型不是请求的用户类型 (!userclass.isassignablefrom(principal.getclass()))，则返回 false，表示不允许访问。
调用父类的权限判断：
```
return super.isaccessallowed(servletrequest, servletresponse, mappedvalue);
```
- 如果上述条件不满足，则调用父类的 isaccessallowed 方法进行进一步的权限判断。

安全性分析

principal 是通过 getsubject(servletrequest, servletresponse).getprincipal() 获取的，它代表当前用户的身份信息。这个身份信息通常是在用户通过登录认证后，由后台系统（如shiro）管理并存储的。

获取 principal 的过程：

用户登录：
- 用户在前端页面输入用户名和密码进行登录。
- 后端验证用户名和密码正确后，会创建一个用户会话，并将用户信息（principal）存储在会话中。
获取 subject：
- getsubject(servletrequest, servletresponse) 方法从当前请求中获取与会话关联的 subject 对象。
- subject 对象包含当前用户的身份信息和权限信息。
获取 principal：
- subject.getprincipal() 获取当前用户的身份信息。这个信息是在用户成功登录后存储在 subject 中的，通常是由后台系统管理的用户对象或用户名。

安全措施（续）

会话管理（续）：
- 用户登录成功后，系统会为用户创建一个唯一的会话（session），并将用户的身份信息（principal）存储在会话中。
- 每次请求都会携带会话id，系统根据会话id获取存储的用户信息。
token认证：
- 使用jwt（json web token）等方式，在用户登录成功后生成一个token，包含用户的身份信息。
- 每次请求携带token，后台会验证token的有效性和完整性。
加密和签名：
- 身份信息和token在传输过程中使用加密技术（如https）进行保护，防止被窃听或篡改。
- 使用数字签名来确保token的完整性和不可伪造性。
httponly和secure标志：
- 设置会话cookie的httponly标志，防止javascript访问cookie。
- 设置secure标志，确保cookie只在https连接中传输。

示例代码

为了更好地理解 isaccessallowed 方法的实现，这里提供一个完整的示例代码，包括如何获取和校验 principal。

import org.apache.shiro.subject.subject;
import javax.servlet.servletrequest;
import javax.servlet.servletresponse;

public class customaccesscontrol extends someshirofilterbaseclass {

    @override
    protected boolean isaccessallowed(servletrequest servletrequest, servletresponse servletresponse, object mappedvalue) {
        subject subject = getsubject(servletrequest, servletresponse);
        object principal = subject != null ? subject.getprincipal() : null;
        class<? extends user> userclass = getuserclass(servletrequest, servletresponse);

        if (principal != null && (userclass == null || !userclass.isassignablefrom(principal.getclass()))) {
            return false;
        }

        return super.isaccessallowed(servletrequest, servletresponse, mappedvalue);
    }

    // 获取用户类型的方法示例
    private class<? extends user> getuserclass(servletrequest request, servletresponse response) {
        // 假设从请求中获取用户类型参数
        string usertype = request.getparameter("usertype");
        if ("member".equals(usertype)) {
            return member.class;
        } else if ("merchant".equals(usertype)) {
            return merchant.class;
        }
        return null;
    }
}