web开发功能权限控制

　　在网站开发的过程中，经常会遇到让某些功能只提供给某些特定的用户去使用，比如，一些高级功能只提供给会员用户使用，而一般的普通用户只能访问一些简单的功能。

具体的实现方式如下。

（1）前端控制：

　　前端的控制比较简单，从后台获取到用户的权限之后，可以存在session或者cookie中，然后在页面加载的时候，通过session或者cookie中存的权限来选择让该功能展现或者禁用。

（2）后台控制：

　　仅仅依靠前端的控制是无法完美解决权限控制的问题，因为前端页面的加载过程是在浏览器中完成的，用户可以自行篡改页面；或者用户可以直接通过URI请求来获取非法权限功能。所以需要在后台实现权限控制。

　　后台的控制方法也很多，比如filter、spring的AOP等。在此选用springMVC的interceptor来控制。

　　首先，在appContext-mvc.xml配置文件中配置拦截器，如下所示：

<mvc:interceptors>    <!-- 会员功能 -->    <mvc:interceptor>          <mvc:mapping path="/fund/mem/**" />        <bean class="org.fund.user.interceptor.AuthInterceptor" />      </mvc:interceptor></mvc:interceptors>  

　　其中，path表示需要控制的接口路径，可以使用正则表达式来匹配。

　　然后，需要自己定义一个拦截器类，继承HandlerInterceptor接口，然后在preHandle方法里进行权限判断，如下所示：

@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {    User user = UserHolder.getUser();    if (user.getAuth() == GameIdeaType.VIP_USER.getId()) {        return true;    } else {        return false;    }}

　　此时，当用户访问接口时，会首先进入这个拦截器的preHandle方法去处理。若权限通过则返回true；否则返回false，此次访问结束。

　　到此，已经实现了权限的控制，但是无法在用户访问非法权限接口时给出提示。若要解决这个问题，需要添加一个全局异常管理。

（3）全局异常管理：

　　思路是在拦截器中权限校验失败时，抛出一个权限校验失败的异常，然后通过全局异常管理类来捕获并返回前端特定的格式。具体如下。

　　首先，在配置文件中添加全局异常管理类，如下：

<!-- 全局异常管理 --><bean id="handlerExceptionResolver" class="org.fund.common.ExceptionHandler">    <property name="order" value="0"></property></bean>

　　然后，定义异常管理类，实现SimpleMappingExceptionResolver接口。

/** * 全局异常处理类 *  * @author  */public class ExceptionHandler extends SimpleMappingExceptionResolver {    @Override    public ModelAndView resolveException(HttpServletRequest request, HttpServletResponse response, Object o, Exception e) {        logger.info("System Error Occurred. " + e.getMessage(), e);        ModelAndView model = new ModelAndView(new MappingJacksonJsonView());        List<String> errors = new ArrayList<String>();        if (e instanceof NoPermissionException) {            errors.add("抱歉，该功能开通会员之后才能使用！");        } else {            errors.add("系统异常");        }        return paramError(model, errors);    }    private ModelAndView paramError(ModelAndView mv, List<String> errors) {        mv.addObject("success", false);        mv.addObject("data", null);        mv.addObject("errors", errors);        return mv;    }}

　　最后，修改拦截器的实现

@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {    User user = UserHolder.getUser();    if (user.getAuth() == GameIdeaType.VIP_USER.getId()) {        return true;    } else {        throw new NoPermissionException();    }}