Kungfu

外观

本页目录

权限拦截器 ​

技术交流QQ群：3549030

前后端权限控制采用那种方法？ ​

采用JWT方式实现用户访问接口权限认证的。

JWT如何实现用户权限认证的？ ​

JWT（JSON Web Token）是一种轻量级的认证和授权协议，它可以用来在不同的系统之间传递安全可靠的信息。

JWT 通过在用户登录成功后，服务器签发一个包含用户身份信息和权限的 token，将这个 token 发送给客户端，客户端在后续请求中携带这个 token，服务器就可以根据这个 token 来判断该用户的身份和权限是否合法。

下面是 JWT 实现用户权限认证的大致流程：

  1. 用户登录时，服务器验证用户的身份和密码，如果验证通过，则生成一个 JWT token，并将其返回给客户端。

  2. 客户端收到 JWT token 后，将其保存在本地，可以使用 cookie 或者 localStorage 等技术保存。

  3. 客户端发送请求时，需要将 JWT token 携带在请求头中，可以使用 Authorization 头部，例如：

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

  1. 服务器在接收到请求后，首先会从 Authorization 头部中获取 JWT token，然后验证 token 是否合法。

  2. 服务器验证 JWT token 的方法包括：

    • 验证 token 是否过期。
    • 验证 token 的签名是否正确。
    • 验证 token 中的用户信息是否正确。

  3. 如果 JWT token 验证通过，服务器就可以根据其中包含的用户信息来判断该用户是否有权限访问当前请求所对应的资源。

  4. 如果用户没有权限，服务器会返回 401（Unauthorized）状态码，否则服务器会正常返回请求所需的数据。

总之，JWT 可以帮助开发者实现用户身份认证和授权，简化开发流程，提高应用的安全性。

权限拦截器实现原理步骤 ​

JFinal 是一款基于 Java 开发的轻量级 Web 框架，它提供了 Interceptor 拦截器的功能，可以用于实现权限认证等功能。下面是 JFinal 拦截器实现权限认证的大致流程：

  1. 创建一个继承于 com.jfinal.aop.Interceptor 的拦截器类，例如：
java
public class AuthInterceptor implements Interceptor {

    @Override
    public void intercept(Invocation inv) {
        Controller controller = inv.getController();
        // TODO: 在这里实现权限认证逻辑
        inv.invoke();
    }

}
  1. 在 AuthInterceptor 类中实现权限认证逻辑，例如：
java
public class AuthInterceptor implements Interceptor {

    @Override
    public void intercept(Invocation inv) {
        Controller controller = inv.getController();
        // 判断用户是否登录
        if (!controller.getSessionAttr("isLogin")) {
            controller.redirect("/login");  // 未登录则跳转到登录页面
            return;
        }
        // 判断用户是否有权限访问当前请求所对应的资源
        if (!hasPermission(controller)) {
            controller.renderError(403);  // 没有权限则返回 403 状态码
            return;
        }
        inv.invoke();
    }

    // 判断用户是否有权限访问当前请求所对应的资源
    private boolean hasPermission(Controller controller) {
        // TODO: 在这里实现权限判断逻辑
        return true;
    }

}
  1. 在 JFinal 的全局配置文件中，将 AuthInterceptor 添加到全局拦截器列表中，例如：
java
public class AppConfig extends JFinalConfig {

    @Override
    public void configInterceptor(Interceptors interceptors) {
        interceptors.add(new AuthInterceptor());
    }

    // ...
}
  1. 在 Controller 中，通过 @Clear 注解可以清除指定的拦截器，例如：
java
@Before(AuthInterceptor.class)
public void index() {
    // ...
}

@Clear(AuthInterceptor.class)
public void login() {
    // ...
}

以上就是 JFinal 拦截器实现权限认证的基本流程，开发者可以根据具体需求来实现具体的权限认证逻辑。

Kungfu开发库权限拦截器实现 ​

java
public class AuthInterceptor implements Interceptor {

	@Override
	public void intercept(Invocation inv) {

		Controller controller = inv.getController();

		if (controller.getViewPath().contains("/swagger/")) {
			inv.invoke();
		}
		// 方便本地调试
		else if (PropKit.getBoolean("isLocal", false)) {
			inv.invoke();
		}
		else {
			String token = controller.getHeader("token");

			if (TokenKit.verify(token)) {
				inv.invoke();
			}
			else {
				controller.getResponse().setStatus(403);
				controller.renderJson(R.fail(403, "权限校验失败: 403 Forbidden"));
			}
		}

	}

}