通过struts2拦截器实现权限管理

来源：互联网发布：合并两首歌用的软件编辑：程序博客网时间：2024/04/28 00:24

package com.work.qxgl.login;
import java.util.List;
import java.util.Map;
import javax.servlet.http.HttpServletRequest;
import org.apache.commons.logging.Log;
import org.apache.commons.logging.LogFactory;
import org.apache.struts2.StrutsConstants;
import org.apache.struts2.config.DefaultSettings;
import com.opensymphony.xwork2.Action;
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
import com.work.core.QxglConstants;
import com.work.core.spring.MyBeanUtil;
import com.work.qxgl.model.QxglRole;
import com.work.qxgl.usermodel.UserModelServiceDao;
public class AuthorizationInterceptor extends AbstractInterceptor {
    /**
     * 
     */
    private static final long serialVersionUID = 4949812834762901805L;
    private static Log log = LogFactory.getLog(AuthorizationInterceptor.class);
    @Override
    public String intercept(ActionInvocation invocation) throws Exception {
        // 取得请求的Action名 
        String name = invocation.getInvocationContext().getName(); // action 
        // 的名称，在xml中配置的 
        String namespace = invocation.getProxy().getNamespace(); // 获取到namespace，还能够获取到要执行的方法，class等 
        if ((namespace != null) && (namespace.trim().length() > 0)) {
            if ("/".equals(namespace.trim())) {
                // 说明是根路径，不需要再增加反斜杠了。 
            } else {
                namespace += "/";
            }
        }
        String URL = namespace + invocation.getProxy().getActionName();
        
        URL += ".action";
        log.debug("actionname=" + name + "||fullActionName=" + URL);
        if (name.equals("login") || name.equals("loginAccess")) {
            // 如果用户想登录，则使之通过 
            return invocation.invoke();
        }
        Map session = invocation.getInvocationContext().getSession();
        // TODO 在这里判断用户是否已经登陆,更改此方法，和OnLineUserManager联系起来， 
        //OnLineUserManager 是线程安全的，效率上可能会比较低！所以暂时还不更改！。 
        String success = (String) session.get(QxglConstants.AUTH_SUCCESS);
        log.debug("success=" + success);
        // 如果没有登陆，那么就退出系统 
        if (success == null || !"true".equals(success)) {
            log.debug("please login");
            return Action.LOGIN;
        }
        String userid = (String) session.get("userid");
        if (userid == null || "".equals(userid)) {
            log.error("用户id不能为空!");
            return Action.LOGIN;
        }
        // 如果是超级管理员，那么直接返回 
        if ("admin1111222233334444555566admin".equals(userid)) {
            return invocation.invoke();
        }
        UserModelServiceDao userModelServiceDao = (UserModelServiceDao) MyBeanUtil
                .getBean("userModelServiceDao");
        // 获取当前用户所拥有的角色 
        List<QxglRole> userRoles = userModelServiceDao.getRoles(userid);
        if (userRoles == null || userRoles.size() < 1) {
            // 没有任何角色 
            log.warn("此用户" + userid + "没有任何角色，没有权限执行任何功能");
            return "noPermit";
        }
        List<QxglRole> urlRoles = userModelServiceDao.getRolesByUrl(URL);
        // 如果此URL没有赋给任何角色，说明是合法用户就可以访问 
        if (urlRoles == null || urlRoles.size() < 1) {
            log.debug("此资源未赋给任何角色，合法用户就可以访问");
            return invocation.invoke();
        }
        // 根据角色来判断用户是否有权限来使用当前的URL（action） 
        boolean flag = false;// 如果有权限访问设置为true； 
        int userLen = userRoles.size();
        int urlLen = urlRoles.size();
        QxglRole tempUserRole = null;
        QxglRole tempUrlRole = null;
        
        START:
        for (int i = 0; i < userLen; i++) {
            // 首先初始化 
            tempUserRole = null;
            tempUrlRole = null;
            tempUserRole = userRoles.get(i);
            for (int j = 0; j < urlLen; j++) {
                tempUrlRole = urlRoles.get(j);
                if (tempUserRole.getId().equals(tempUrlRole.getId())) {
                    flag = true;
                    break START;
                }
            }
        }
        if (flag) {
            log.debug("success auth");
            return invocation.invoke();
        } else {
            //用户如果在主页面中输入其他的任何链接，系统将自动执行logout动作，因为在/sysmenu/top.jsp中配置了onunload事件。 
            log.warn("此用户" + userid + "没有权限执行此功能"+URL);
            return "noPermit";
        }
    }
}

在struts2的配置文件中配置

    <package name="qxglmain" extends="struts-default" namespace="/">
        <!-- 自定义拦截器 -->
        <interceptors>
            <interceptor name="auth"
                class="com.work.qxgl.login.AuthorizationInterceptor" />
            <interceptor name="ourLogger"
                class="com.work.core.interceptor.LoggingInterceptor" />
            <interceptor name="ourTimer"
                class="com.work.core.interceptor.TimerInterceptor" />               
            <!-- 自定义拦截器堆栈 -->
            <interceptor-stack name="qxglStack">
                <interceptor-ref name="auth" /><!--  权限控制 -->
                <!-- 用来查看每个action执行了多长时间，看执行效率,只所以重新编写，因为xwork的源代码的日志级别低为INFO，我们配置的日志级别为ERROR。所以看不到了 -->
                <interceptor-ref name="ourTimer" />
                <interceptor-ref name="ourLogger" />
                <!-- 
                <interceptor-ref name="logger" /> -->
                <!-- 引用默认的拦截器堆栈 -->
                <interceptor-ref name="defaultStack" />
            </interceptor-stack>
        </interceptors>
        <!-- 重定义默认拦截器堆栈 -->
        <default-interceptor-ref name="qxglStack" />
        <global-results>
            <result name="login" type="redirectAction">login</result>
            <result name="error">/qxgl/error.jsp</result>
            <result name="noPermit">/qxgl/noPermit.jsp</result>
            <result name="input" type="redirectAction">login</result>           
        </global-results>
        <!--  exception的配置必须在global-results后面 -->
        <global-exception-mappings>
            <exception-mapping
                exception="java.lang.NullPointerException" result="error" />
            <exception-mapping exception="java.lang.Exception"
                result="error" />
            <exception-mapping
                exception="com.work.core.exception.StorageException" result="error" />              
        </global-exception-mappings>
        
        <action name="qxglmain"
            class="com.work.qxgl.main.QxglMainAction">
            <result>/qxgl/menutree/qxglmain.jsp</result>
        </action>
        <action name="sysmain"
            class="com.work.qxgl.main.QxglMainAction" method="sysmain">
            <result>/sysmenu/sysMain.jsp</result>
        </action>
        <action name="login" class="com.work.qxgl.login.LoginAction"
            method="login">
            <result>/login.jsp</result>
        </action>
        <action name="logout" class="com.work.qxgl.login.LogoutAction">
            <result>/login.jsp</result>
        </action>
    
        <action name="loginAccess" class="com.work.qxgl.login.LoginAction">
            <result type="redirectAction">sysmain</result>
            <result name="input" >/login.jsp</result>
        </action>
        <action name="listOnLineUsers" class="com.work.qxgl.login.OnLineUserAction">
            <result>/qxgl/onlineuser/onlineuser.jsp</result>
        </action>   
        <action name="kickUser" class="com.work.qxgl.login.OnLineUserAction"
            method="kickUser">
            <result type="chain">listOnLineUsers</result>
        </action>       
        <action name="listMenu" class="com.work.qxgl.main.QxglMainAction"
            method="listMenu">
            <result>/sysmenu/menu.jsp</result>
        </action>       
    </package>

缺点：

struts2的拦截器只能够控制*.action，其他的jsp文件等会被忽略，所以通过struts2的拦截器实现权限控制有一定的缺陷。

我们可以通过编写一个filter来控制其他请求的权限

package com.work.core.filter;
/**
 * @author wangmingjie
 * @date 2008-8-25下午10:09:26
 */
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import org.apache.commons.logging.Log;
import org.apache.commons.logging.LogFactory;
import com.work.core.QxglConstants;
public class AuthFilter implements Filter {
    private static Log log = LogFactory.getLog(AuthFilter.class);
    public void init(FilterConfig filterConfig) throws ServletException {
        if(log.isDebugEnabled()){
            log.debug("初始化权限过滤器。");
        }
    }
    public void doFilter(ServletRequest servletRequest,
            ServletResponse servletResponse, FilterChain filterChain)
            throws IOException, ServletException {
        /**
         * 1,doFilter方法的第一个参数为ServletRequest对象。此对象给过滤器提供了对进入的信息（包括
         * 表单数据、cookie和HTTP请求头）的完全访问。第二个参数为ServletResponse，通常在简单的过
         * 滤器中忽略此参数。最后一个参数为FilterChain，此参数用来调用servlet或JSP页。
         */
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        /**
         * 如果处理HTTP请求，并且需要访问诸如getHeader或getCookies等在ServletRequest中
         * 无法得到的方法，就要把此request对象构造成HttpServletRequest
         */
        HttpServletResponse response = (HttpServletResponse) servletResponse;
        String currentURL = request.getRequestURI(); // 取得根目录所对应的绝对路径: 
        HttpSession session = request.getSession(false);
        //如果jsp就验证（login.jsp除外） 
        if (currentURL.indexOf(QxglConstants.LOGIN_PAGE)==-1 && currentURL.indexOf(".jsp")>-1 ) { 
            if(log.isDebugEnabled()){
                log.debug("对jsp文件进行权限验证。"+"请求的URL:"+currentURL);            
            }
            // 判断当前页是否是重定向以后的登录页面页面，如果是就不做session的判断，防止出现死循环 
            if(session == null || session.getAttribute(QxglConstants.AUTH_SUCCESS) == null ){
                response.sendRedirect(request.getContextPath()+QxglConstants.LOGIN_PAGE);
                return ;
            }
        }
        // 加入filter链继续向下执行 
        filterChain.doFilter(request, response);
        /**
         * 调用FilterChain对象的doFilter方法。Filter接口的doFilter方法取一个FilterChain对象作 为它
         * 的一个参数。在调用此对象的doFilter方法时，激活下一个相关的过滤器。如果没有另
         * 一个过滤器与servlet或JSP页面关联，则servlet或JSP页面被激活。
         */
    }
    public void destroy() {
    }
}

在web.xml中配置权限过滤器

    <!-- 进行权限验证 -->
    <filter>
        <filter-name>AuthFilter</filter-name>
        <filter-class>
            com.work.core.filter.AuthFilter
        </filter-class>
    </filter>   
    <filter-mapping>
        <filter-name>AuthFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>