若依安全v4.8.0如何自定义权限控制规则？

Question

在若依安全v4.8.0中如何实现自定义权限控制规则？若依框架默认使用角色与菜单的绑定来实现权限管理，但实际项目中可能需要更灵活的权限控制逻辑。例如，针对特定按钮或数据范围实施精细化授权。如何通过修改若依的权限判断逻辑，在原有基础上扩展自定义注解或表达式，以满足复杂业务场景下的权限校验需求？同时，如何确保自定义规则与框架原有的Shiro或Spring Security集成无缝衔接，避免影响系统性能和安全性？请提供具体实现步骤和代码示例。

Answer 1

若依安全v4.8.0中实现自定义权限控制规则

在实际项目开发中，往往需要针对特定按钮或数据范围实施精细化授权。本章将详细介绍如何在若依安全v4.8.0框架中扩展自定义注解或表达式，以满足复杂业务场景下的权限校验需求。

1. 理解若依默认权限管理机制

若依框架默认使用角色与菜单绑定的权限管理方式，基于Shiro或Spring Security进行权限校验。这种机制适用于大部分场景，但在某些复杂业务中显得不够灵活。

• 若依通过菜单配置生成权限标识（如：sys:user:list）。
• 前端通过权限标识控制按钮显示，后端通过注解（@PreAuthorize 或 @RequiresPermissions）进行校验。

然而，这种机制无法直接支持针对数据范围或动态条件的权限控制。

2. 扩展自定义注解实现权限控制

为了实现更灵活的权限控制，可以通过自定义注解和拦截器来增强权限校验逻辑。

2.1 创建自定义注解

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
public @interface CustomPermission {
    String value(); // 权限标识
    String condition() default ""; // 动态条件表达式
}

2.2 实现自定义注解解析器

创建一个拦截器或AOP切面，解析自定义注解并执行权限校验逻辑。

@Aspect
@Component
public class CustomPermissionInterceptor {

    @Around("@annotation(customPermission)")
    public Object handlePermission(ProceedingJoinPoint joinPoint, CustomPermission customPermission) throws Throwable {
        String permissionValue = customPermission.value();
        String condition = customPermission.condition();

        // 校验用户是否具备该权限
        if (!checkPermission(permissionValue)) {
            throw new UnauthorizedException("无权访问");
        }

        // 校验动态条件
        if (!StringUtils.isEmpty(condition) && !evaluateCondition(condition)) {
            throw new ForbiddenException("条件不满足");
        }

        return joinPoint.proceed();
    }

    private boolean checkPermission(String permission) {
        // 调用Shiro或Spring Security的权限校验方法
        return SecurityUtils.getSubject().isPermitted(permission);
    }

    private boolean evaluateCondition(String condition) {
        // 使用SpEL或其他表达式引擎解析动态条件
        ExpressionParser parser = new SpelExpressionParser();
        StandardEvaluationContext context = new StandardEvaluationContext();
        return parser.parseExpression(condition).getValue(context, Boolean.class);
    }
}

3. 数据范围权限控制

对于数据范围的权限控制，可以通过以下步骤实现：

步骤	描述
1	在数据库中新增字段存储用户的数据范围信息。
2	修改查询SQL，加入动态条件过滤数据范围。
3	在服务层拦截请求，注入用户数据范围信息。

3.1 使用MyBatis动态SQL实现数据范围过滤

<select id="listUsers" resultType="User">
    SELECT * FROM user WHERE 1=1
    <if test="dataScope != null">
        AND department_id IN (<foreach collection="dataScope" item="id" open="(" separator="," close=")">#{id}</foreach>)
    </if>
</select>

4. 确保与Shiro/Spring Security无缝集成

为确保自定义规则不影响系统性能和安全性，需注意以下几点：

1. 避免重复校验权限，减少性能开销。
2. 确保动态条件表达式的安全性，防止注入攻击。
3. 测试覆盖所有边界场景，验证权限控制逻辑的正确性。

4.1 使用Mermaid绘制流程图

sequenceDiagram
    participant Controller
    participant Interceptor
    participant Service
    participant Database

    Controller->>Interceptor: 请求到达
    Interceptor->>Interceptor: 解析自定义注解
    Interceptor->>Database: 查询权限信息
    Interceptor->>Controller: 返回权限校验结果
    Controller->>Service: 调用业务逻辑