Struts2如何将权限验证细化到页面的操作

0 0

Struts2如何将权限验证细化到页面的操作5

我最近自己做的一个基础BS架构(Struts2+Jquery+Hibernate)，在设计权限验证的时候遇到一个难题，如下.
整个系统以一颗资源树的形式管理page(叶子节点是struts2的action请求),做了一个权限验证拦截器来验证权限。整个过程如下
1.资源树有一个叶子节点 /sys/User_list,用户访问 /sys/User_list的时候，拦截器取到这个URL,然后查找role_resource表(保存role对资源树节的访问权限)，可以得到用户对这个page的操作权限 privis,整型
2.假如用户能够访问/sys/User_list,提供给用户是一个User表的操作界面，并根据privis的值生成操作按钮，当用户add,edit,delete的时候，提交的action为 sys/User_add,
sys/User_update,sys/User_delete形式，这个时候也要做权限验证，但我并没有把这些操作细化到资源树的sys/User_list节点page下，
而是用1取到的privis来标记，privis=2,表示可以edit,privis=3,表示可以add,edit,privis=4,表示可以add,edit,delete.
问题在这里，当用户点击按钮提交的时候，拦截器怎么去验证用户的权限呢？
不验证是不行的，用户可以通过直接输入URL绕过按钮，
验证的话，因为这个action不在资源树里，会被拦截器直接拦截掉，
我的问题在于，这种Operation级别的url怎么在拦截器里验证？
1.取到sys/User_add,然后替换成sys/User_list,取到Privis,
然后再privis=3,则通过，否则拒绝
2.或者Struts2的action不使用*_*映射，而是用DMI调用。
这样sys/User_list就替换成sys/User
sys/User_add替换成sys/User!add
当访问sys/User!add的时候，先取到!前的url,然后去role_resource验证，然后然后再privis=3,则通过，否则拒绝,

2种似乎都可行，第2种更明晰一点，但action配置过多，我想用第一种*_*的配置，该如何设计page的url,以及operation的url,以方便权限验证

Hibernate Struts2 OA Permission

2012年12月28日 09:29

jkluoooposm
3
0 0 12

4个答案按时间排序按投票排序

0 0

2014年2月03日 20:26

jy00912866
30
0 0 0

添加评论

0 0

按照楼主说的是不是在拦截器中要类似这样的操作：
if (actionType = edit)
判断 privis > 2
if actionType = add
判断 privis >= 3
if actionType = delete
判断 privis = 4
作为权限判断的逻辑。

我有一个想法，简化这个判断的。类似于linux的访问权限的“位与”的方法
设计一个map在拦截器中存储，或能访问到。
"edit" -> 0001
"add" -> 0010
"delete"-> 0100

privis中对应的权限分别为：
edit = 0001
edit,add = 0011
ed,ad,del = 0111

这样在进行权限判断的代码就可以写成

if (map.get(actionType) & userPrivis == map.get(actionType)) {
    //doXXX,已经获得权限后的操作
}

2012年12月28日 23:45

Bo6Bear
35
0 0 6

添加评论

0 0

这个还是需要自己做个权限系统。分配权限类型包括page和opertion两种。两种结合可以解决你的问题。

2012年12月28日 14:48

lhx222
389
0 0 0

添加评论

0 0

你能知道操作类型，有可以从用户session中取得用户权限，问题不是解决了吗

2012年12月28日 14:01

269629151
30
0 0 4

添加评论

已解决问题

未解决问题

排行榜

查看全部排名>>