前言
项目使用mybaits-plus，所以在mybaits-plus的基础上增加数据权限的过滤
mybaits-plus自带数据权限支持，但由于系统数据权限相对复杂，通过查看文档发现好像并不适用，且原项目版本低，所以最终还是通过自己的方式实现
数据范围
我们系统相对复杂，比如可以按机构/用户等多种维度过滤，并且可以指定全局和某个特定接口的过滤方式
其实数据范围过滤落地也不过是：数据表的某字段限制在一个范围内，即sql中添加column in (1,2,3...)
不管怎么说第一步都是要获取用户的数据范围，比如某用户的数据范围为机构id为(1,2,3)下的数据，那么先要获取(1,2,3)
首先建立一个类来存储用户的数据范围，由于数据权限是多维度的，所以存储的是一个Map<String, List<String>>结构
public class GerneralScope extends HashMap<String, List<String>> {
}
存储的数据类似如下
{
"org_id": [1,2,3], // 机构id
"user_id": [], // 为空代表不过滤用户id
"xxx_id": [4,8] // 其它为敌
}
使用ThreadLocal进行暂存，并在拼接sql时使用，这样可以避免代码侵入
public class ScopeDataHolder {
public final static ThreadLocal<GerneralScope> SCOPE_DATA = new ThreadLocal<>();
public static GerneralScope get() {
GerneralScope gerneralScope = SCOPE_DATA.get();
SCOPE_DATA.remove(); // 获取一次就删除
return gerneralScope;
}
public static void set(GerneralScope data) {
SCOPE_DATA.set(data);
}
}
数据结构准备好了，接下来就是获取当前用户数据范围存入ScopeDataHolder，采用注解+AOP的方式避免代码侵入
新增注解@Scope
@documented
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
public @interface Scope {
ApiType value() default ApiType.COMMON;
}
其中加一个参数value用来区分不同接口，即可实现特定接口单独过滤方式
AOP获取并设置数据范围
@Component
public class ScopeAspect {
@Pointcut("@annotation(com.xxx.Scope)")
public void injectScope() {
}
@Before("injectScope()")
public void around(JoinPoint joinPoint) {
Scope annotation = ((MethodSignature) joinPoint.getSignature()).getMethod().getAnnotation(Scope.class);
GerneralScope userScopeData = getCurrentUserScopeData(annotation.value()); // 数据库获取当前用户+当前接口的数据范围
ScopeDataHolder.set(userScopeData); // 存入ThreadLocal
}
}
到此，零侵入代码情况下，通过ThreadLocal暂存了用户所配的数据范围
修改SQL
获取到了用户的数据范围，下一步就是在查询中加入数据范围的过滤，即修改sql
刚开始本来打算用mybaits-plus的自定义拦截器实现sql的修改，后来发现有很多坑，主要是当sql中存在left join且分页时，mybaits-plus的分页器在count查询时自动把没有查询条件的left join表去掉，如果限定数据范围的字段刚好在join表上，就会导致错误
所以最终没有采用拦截器，而是采取重写mybaits-plus的QueryWrapper类来实现，代码如下
public class ScopeQueryWrapper<T> extends QueryWrapper<T> {
private final GerneralScope queryScope;
public ScopeQueryWrapper() {
this.queryScope = ScopeDataHolder.get(); // 从ThreadLocal获取数据范围
if (this.queryScope==null) {
throw new IllegalStateException();
}
}
@SuppressWarnings("unchecked")
public void scope(ScopeEnum type, SFunction<T, ?> column) {
List<String> els = queryScope.get(type.getValue());
if (els!=null && els.size()!=0) {
lambda().in(column, els);
}
}
@SuppressWarnings("unchecked")
public void scope(ScopeEnum type, String fieldName) {
List<String> els = queryScope.get(type.getValue());
if (els!=null && els.size()!=0) {
in(fieldName, els);
}
}
}
这样只需在查询层把QueryWrapper替换为ScopeQueryWrapper，并使用scopeFilter方法来指定界限字段即可，写法如下
public Page<User> page(UserQuery query) {
Page<User> page = new Page<>(query.getPageNum(), query.getPageSize());
ScopeQueryWrapper<User> wrapper = new ScopeQueryWrapper<>();
if (query.getName()!=null) {
wrapper.lambda().like(User::getName,query.getName());
}
wrapper.scope(ScopeEnum.orgId, User:getOrgId); // 指定机构id字段
wrapper.scope(ScopeEnum.userId, "user.id"); // 指定用户id字段,字符串方式可以防止join字段重名
...省略其它过滤条件
wrapper.lambda().orderByDesc(User::getId);
Page<User> result = page(page, wrapper);
return result;
}
如上，需要指定具体需要过滤的字段，由于是多维度，可能会指定很多，ScopeEnum即各维度的枚举，scope方法中的getValue获取到的即用户设置范围数据的key
ScopeEnum
scope接受字符串形式，可以避免join时字段有歧义
以上代码出现了代码的侵入，但自认为可以接受，如果不需要多维度可以进一步简略
最终，执行的sql大体如下
select * from user where name like "%pq%" and org_id in (1,2,3) and user.id in (4,8,10)
