基于struts的权限控制——简单实现

struts框架中只有一个ActionServlet,但可以有多个客户化的requestProcesscor。对于struts来说真正做控制的是RequestProecssor和Action。

其中Action的process方法最终调用的是RequestProcessor类中的process方法。

下面是该方法的源码：

public void process(HttpServletRequest request,
HttpServletResponse response)
throws IOException, ServletException {
// 如果HTTP请求方式为post,并且contentType为”multipart/form-data”开头,标准的HttpServletRequest对象将被重新包装,
// 以方便处理”multipart”类型的HTTP请求如果请求方式为get,或正congtentType属性不是”mulitipart”,就直接返回原始的HttpServletRequest对象.
request = processMultipart(request);
// 获得请求的URI的路径,这一信息可用于选择合适的Struts Action组件.
String path = processPath(request, response);
if (path == null) {
return;
}
if (log.isDebugEnabled()) {
log.debug("Processing a '" + request.getMethod() +
"' for path '" + path + "'");
}
// 当ControllerConfig对象的locale属性为true,将读取用户请求中包含的Locale信息,然后把Locale实例保存在session范围内.
processLocale(request, response);
// 读取ControllerConfig对象的conttentType属性,
// 然后调用response.setContentType(contentType)方法,设置响应结果的文档类型和字符编码.
processContent(request, response);
// 读取ControllerConfig对象的nocache属性,
// 如果nocache属性为true,在响应结果中将加入特定的头参数:Pragma,Cache-Control和Expires
processNoCache(request, response);
// 该方法不执行任何操作.直接返回true.子类可以覆盖这个方法.
// 执行客户化的预处理请求操作.
if (!processPreprocess(request, response)) {
return;
}
this.processCachedMessages(request, response);
// 寻找和用户请求的URI匹配的ActionMapping,如果不存在这样的ActionMapping,则向用户返回恰当的错误信息
ActionMapping mapping = processMapping(request, response, path);
if (mapping == null) {
return;
}
// 先判断是否为Action配置了安全角色,如果配置了安全角色,就调用isUserInRole()方法判断当前用户是否具备必需的角色,
// 如果不具备,就结束请求处理流程.,向用户返回恰当的错误消息
if (!processRoles(request, response, mapping)) {
return;
}
// 先判断是否为ActionMapping配置了ActionForm,如果配置了ActionForm,就先从ActionForm的存在范围内（request或session）寻找改ActionForm实例,
// 如果不存在,就创建一个实例,接下来把它保存在合适的范围内,保存时使用的属性key为ActionMapping的name属性。
ActionForm form = processActionForm(request, response, mapping);
// 如果为ActionMapping配置了ActionForm，就先调用ActionForm的reset（）方法，再把请求中的表单数据组装到ActionForm中
processPopulate(request, response, form, mapping);
// 如果为ActionMapping配置了ActionForm，并且ActionMapping的validate属性为true，
// 就调用ActionForm的validate（）方法，如果validate方法返回的ActionErrors对象中包含ActionMessage对象，
// 说明表单验证失败。就把ActionErrors对象放在request范围内，再把请求转发到ActionMapping的input属性指定的Web组件。
// 如果ActionForm的validate方法执行表单验证成功，就继续执行下面的处理流程。
try {
if (!processValidate(request, response, form, mapping)) {
return;
}
} catch (InvalidCancelException e) {
ActionForward forward = processException(request, response, e, form, mapping);
processForwardConfig(request, response, forward);
return;
} catch (IOException e) {
throw e;
} catch (ServletException e) {
throw e;
}
// Process a forward or include specified by this mapping
if (!processForward(request, response, mapping)) {
return;
}
if (!processInclude(request, response, mapping)) {
return;
}
// 先判断是否在Action缓存中存在这个Action实例，如果没有就新建一个Action实例，
// 把它放在Action缓存中。可以看出Action也是只有一个实例在运行的
Action action = processActionCreate(request, response, mapping);
if (action == null) {
return;
}
// Call the Action instance itself
ActionForward forward =
processActionPerform(request, response,
action, form, mapping);
// 把你的Action的excute方法返回的ActionFoward对象作为参数传给它，
// processActionForward对象包的请求转发信息来执行请求转发或重定向。
processForwardConfig(request, response, forward);

}

下面是我自己写的一个实际使用的类，对于一般的小型系统的权限控制个人感觉够用：

package com.shy.test;

import java.util.ArrayList;
import java.util.Iterator;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.struts.action.RequestProcessor;

/**
 * @author shy.qiu
 * struts配置文件配置方法
 * <controller
 *          contentType="text/html;charset=utf-8"
 *          locale="true"
 *          nocache="true"
 *          processorClass="com.shy.web.ShyRequestProcessor">
 * </controller>
 */
public class ShyRequestProcessor extends RequestProcessor {
    // 普通用户的权限数组
    ArrayList<String> authority1 = new ArrayList<String>();
    // 管理员的权限数组
    ArrayList<String> authority2 = new ArrayList<String>();
    public ShyRequestProcessor(){
        //建议从数据库中读取，并放入session中
        // 普通用户权限组装
        authority1.add("TSKR0010");
        authority1.add("TSKR0210");
        authority1.add("TSKR0220");
        authority1.add("TSKR0230");
        // 管理员权限组装
        authority2.add("TSKR0310");
        authority2.add("TSKR0320");
        authority2.add("TSKR0330");
        authority2.add("TSKR0340");
        authority2.add("TSKR0350");
        authority2.add("TSKR0360");
        authority2.add("TSKR0370");
        authority2.add("TSKR0380");
    }
    protected boolean processPreprocess(HttpServletRequest request,
            HttpServletResponse response) {
        // 通过标记位
        boolean flag=true;
        // 权限名称
        String kengen="";
        // 请求路径
        String action_path="";
        try {
            // 获得请求的URI的路径,这一信息可用于选择合适的Struts Action组件.
            action_path = super.processPath(request, response);
            // 登陆权限全都返回true
            if ("login".equals(action_path)) {
                flag = true;
            }
            else {
                // 得到权限名称
                if(request.getSession().getAttribute("kengen")!=null) {
                    kengen = request.getSession().getAttribute("kengen").toString();
                // 没有任何权限
                } else {
                    request.setAttribute("Error", "你没有该权限");
                    request.getRequestDispatcher("/index.jsp").forward(request,response);
                    return false;
                }
                // 当用户为管理员时
                if ("2".equals(kengen)) {
                    for (Iterator<String> it = authority2.iterator();it.hasNext();) {
                          String s_authority = (String)it.next();
                          if(action_path.equals(s_authority)){
                              flag = true;
                          }
                    }
                }
                // 当用户为普通用户时
                else if ("1".equals(kengen)) {
                    for (Iterator<String> it = authority1.iterator();it.hasNext();) {
                          String s_authority = (String)it.next();
                          if(action_path.equals(s_authority)){
                              flag = true;
                          }
                    }
                }
            }
            // 权限通过标记为为false时
            if(!flag) {
                request.setAttribute("Error", "你没有该权限");
                request.getRequestDispatcher("/index.jsp").forward(request,response);
                return false;
            }
            // 权限通过标记为为true时
            else {
                return true;
            }
        } catch (Exception e) {
            e.printStackTrace();
            return false;
        }
    }
}