ruoyiAOPアスペクトによるデータフィルタリングとパーミッション処理の例

コンテンツ

1.AOPとは

序章

2.RuoyiのAOP実装

2.1AOPがデータでフィルタリングされている場合

注釈を定義する

アスペクトクラスを実装する

2.2データソースAOP

---

1.AOPとは

序章

AOPは、アスペクト指向プログラミングの略で、次のことを意味します。アスペクト指向プログラミングは、実行時に事前コンパイルと動的プロキシを介してプログラム機能の統一されたメンテナンスを実現するテクノロジーです。これは、Springの3つのコアアイデアの1つです。AOPは、ソフトウェア開発のホットスポットであり、 Springフレームワークの重要な部分であるOOPの継続であり、関数型プログラミングの派生パラダイムです。AOPを使用すると、ビジネスロジックの各部分を分離できるため、ビジネスロジックの各部分間の結合が減り、プログラムの再利用性が向上し、開発の効率が向上します。

言い換えれば、簡単な理解は、プロジェクト全体を横断し、データをインターセプトするか、コードの再利用を実装するためのフィルターを配置することです。

オリジナルプロジェクト

 コードの再利用を実装し、コードの量を減らしますが、継続的に導入して構成する必要があります。

 AOPを実装する過程で、コードの再利用を実現するだけでなく、モジュールを分離してワークロードを削減します。詳細については、記事[SpringBoot-3]アスペクトAOP実装機関の検証：デモンストレーションとアノテーションの例フルSolution_CloudDeepを参照してください。私はどこにもブログ-CSDNブログ

2.RuoyiのAOP実装

RuoyiのAOP使用の簡単な紹介

依存関係をインポートする

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-aop</artifactId>
</dependency>

2.1AOPがデータでフィルタリングされている場合

注釈を定義する

/**
 * 数据权限过滤注解
 * 
 * @author ruoyi
 */
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface DataScope
{
    /**
     * 部门表的别名
     */
    public String deptAlias() default "";

    /**
     * 用户表的别名
     */
    public String userAlias() default "";
}

@DataScope、データフィルタリングのアノテーション。デフォルトは ""の2つのパラメータがあり、これら2つのパラメータは異なるテーブルのデータフィルタリングに使用でき、必要に応じて複数のパラメータを追加できます。

構成を実装するための3つのアノテーションがあります

@Targetは、注釈の使用範囲を記述するために使用されます。記述された注釈を使用できる場合は、パラメーター

@Retentionは、アノテーション、パラメーターのライフサイクルを定義するために使用されます

ソース	ソースファイルで有効（つまり、ソースファイルが残っている）
クラス	クラスファイルで有効（つまり、クラスの保持）
ランタイム	実行時に有効（つまり、実行時は保持されます）

 @Document  は、javadocの生成時に記録されるかどうかをマークするために使用されます。

アスペクトクラスを実装する

ステップバイステップ

最初にアスペクトクラスを定義します

**
 * 数据过滤处理
 * 
 * @author ruoyi
 */
@Aspect
@Component
public class DataScopeAspect

@Aspectは、クラスがアスペクトクラスであることを示すために使用されます@Componentコンポーネントがコンテナに追加されます

    @Before("@annotation(controllerDataScope)")
    public void doBefore(JoinPoint point, DataScope controllerDataScope) throws Throwable
    {
        clearDataScope(point);
        handleDataScope(point, controllerDataScope);
    }

@Beforeは、アスペクトがターゲットメソッドに切り替わる前に実行されるメソッドを定義するために使用されます

パラメーターJoinPoint：このオブジェクトはSpring AOPのアスペクトメソッドの情報をカプセル化し、メソッド情報をカプセル化するJoinPointオブジェクトを取得できます。

パラメータDataScopeアノテーションオブジェクト。アノテーションによって入力された2つのパラメータを含みます。

このメソッドは最初にclearDataScope（）メソッドを呼び出します

/**
     * 拼接权限sql前先清空params.dataScope参数防止注入
     */
    private void clearDataScope(final JoinPoint joinPoint)
    {
        Object params = joinPoint.getArgs()[0];
        if (StringUtils.isNotNull(params) && params instanceof BaseEntity)
        {
            BaseEntity baseEntity = (BaseEntity) params;
            baseEntity.getParams().put(DATA_SCOPE, "");
        }
    }

関数は、インジェクションを防ぐためにparams.DATA_SCOPEパラメーターをクリアすることです。DATA_SCOPEは、SQLステートメントのデータフィルタリングにAOPアスペクトが使用された後にリクエストに入れられるパラメーターであるため、SQLインジェクションを回避するためにクリアする必要があります。ありそうもない

handleDataScope（）メソッドを呼び出した後

protected void handleDataScope(final JoinPoint joinPoint, DataScope controllerDataScope)
    {
        // 获取当前的用户
        SysUser currentUser = ShiroUtils.getSysUser();
        if (currentUser != null)
        {
            // 如果是超级管理员，则不过滤数据
            if (!currentUser.isAdmin())
            {
                dataScopeFilter(joinPoint, currentUser, controllerDataScope.deptAlias(),
                        controllerDataScope.userAlias());
            }
        }

リクエストにユーザー情報が含まれていて、管理者でない場合は、データフィルタリングを実行できることがわかります。

メソッドdataScopeFilter（）は、ロジックの主要部分です。

 public static void dataScopeFilter(JoinPoint joinPoint, SysUser user, String deptAlias, String userAlias)
    {
        StringBuilder sqlString = new StringBuilder();

        for (SysRole role : user.getRoles())
        {
            String dataScope = role.getDataScope();
            if (DATA_SCOPE_ALL.equals(dataScope))
            {
                sqlString = new StringBuilder();
                break;
            }
            else if (DATA_SCOPE_CUSTOM.equals(dataScope))
            {
                sqlString.append(StringUtils.format(
                        " OR {}.dept_id IN ( SELECT dept_id FROM sys_role_dept WHERE role_id = {} ) ", deptAlias,
                        role.getRoleId()));
            }
            else if (DATA_SCOPE_DEPT.equals(dataScope))
            {
                sqlString.append(StringUtils.format(" OR {}.dept_id = {} ", deptAlias, user.getDeptId()));
            }
            else if (DATA_SCOPE_DEPT_AND_CHILD.equals(dataScope))
            {
                sqlString.append(StringUtils.format(
                        " OR {}.dept_id IN ( SELECT dept_id FROM sys_dept WHERE dept_id = {} or find_in_set( {} , ancestors ) )",
                        deptAlias, user.getDeptId(), user.getDeptId()));
            }
            else if (DATA_SCOPE_SELF.equals(dataScope))
            {
                if (StringUtils.isNotBlank(userAlias))
                {
                    sqlString.append(StringUtils.format(" OR {}.user_id = {} ", userAlias, user.getUserId()));
                }
                else
                {
                    // 数据权限为仅本人且没有userAlias别名不查询任何数据
                    sqlString.append(" OR 1=0 ");
                }
            }
        }

ロジックは非常に単純です。リクエストのdataScope値（データベースから照会された値）を使用して、ユーザーが持っている権限を判別します。

次に、@ DataScopeアノテーションの値に従って、ユーザーがアクセスしているテーブルを判別するために、sqlStringに文字列を入れることができます。

if (StringUtils.isNotBlank(sqlString.toString()))
        {
            Object params = joinPoint.getArgs()[0];
            if (StringUtils.isNotNull(params) && params instanceof BaseEntity)
            {
                BaseEntity baseEntity = (BaseEntity) params;
                baseEntity.getParams().put(DATA_SCOPE, " AND (" + sqlString.substring(4) + ")");
            }
        }

sqlStringが空でなく、アノテーションによって定義されたメソッドのパラメーターがBaseEntity（エンティティ基本クラス）を継承する場合

）、パラメータにsqlStringを入力します

最後に、Servcieレイヤーのメソッドに@DataScopeアノテーションを配置します

@DataScope(deptAlias = "aaa")
    public List selectList(Params param)
    {
        return Mapper.selectList(param);
    }

マッパーを追加

$ {params.dataScope}

動的SQLインジェクション

2.2データソースAOP