核心内容摘要
当女英雄翻白眼流泪：脆弱，亦是力量的华章
文章目录
典型错误示例硬编码 权限逻辑散落各处❌ 错误做法⚠️ 问题分析
合理实现思路RBAC 数据权限规则解耦✅ 核心思想
数据模型设计
权限规则加载与缓存
统一数据权限拦截器以 MyBatis 为例
解决方法
总结
四、
注意事项与局限性✅ 实践建议⚠️ 模型局限性
结语精彩博文在企业级应用开发中权限控制是保障系统安全的核心机制之一。
传统的基于角色的访问控制RBAC模型通过“用户-角色-权限”的映射关系有效管理功能权限如“能否访问订单页面”。
然而随着业务复杂度提升仅靠功能权限已无法满足精细化管控需求——例如“销售总监可查看全国销售数据而区域经理只能查看本区域数据”。
这类需求属于数据权限Data-level Permission范畴。
本文将探讨如何在传统 RBAC 基础上扩展数据权限维度分析典型错误实现提供可行的解决方案并指出实际落地中的
注意事项。
典型错误示例硬编码 权限逻辑散落各处❌ 错误做法许多开发者在初期为求快速上线常采用如下方式// UserController.javaGetMapping(/users)publicListUsergetUsers(AuthenticationPrincipalCustomUseruser){if(SALES_DIRECTOR.equals(user.getRole())){returnuserService.findAll();// 全量数据}elseif(REGION_MANAGER.equals(user.getRole())){returnuserService.findByRegion(user.getRegion());// 仅本区域}thrownewAccessDeniedException(无权访问);}⚠️ 问题分析硬编码角色名称角色名写死在业务代码中一旦角色变更或新增需修改多处逻辑。
权限逻辑与业务耦合数据过滤逻辑嵌入 Controller 层违反关注点分离原则。
难以复用与测试相同的数据权限规则在不同接口重复编写维护成本高。
扩展性差若未来需支持“按部门区域时间范围”组合过滤代码将迅速膨胀且混乱。
此类实现虽“能跑”但随着系统规模扩大将成为技术债务的重灾区。
合理实现思路RBAC 数据权限规则解耦✅ 核心思想在保留原有 RBAC 模型的基础上为角色附加数据访问规则并在数据访问层统一拦截和注入过滤条件。
数据模型设计-- 角色表已有CREATETABLErole(idBIGINTPRIMARYKEY,nameVARCHAR(
NOTNULL-- 如 SALES_DIRECTOR, REGION_MANAGER);-- 新增角色数据权限规则表CREATETABLErole_data_rule(role_idBIGINT,scope_typeVARCHAR(
,-- ALL, DEPT, REGION, SELF 等scope_valueVARCHAR(
,-- 如 NORTH, DEPT_101若 scope_typeALL 则可为空resourceVARCHAR(
-- 关联的资源类型如 SALES_ORDER, USER);示例数据role_id1 (SALES_DIRECTOR), scope_typeALL, resourceSALES_ORDERrole_id2 (REGION_MANAGER), scope_typeREGION, scope_valueEAST, resourceSALES_ORDER
权限规则加载与缓存系统启动或角色变更时将规则加载至内存如 Guava Cache 或 Redis避免频繁查库。
DatapublicclassDataPermissionRule{privateStringscopeType;// ALL / DEPT / REGION / CUSTOMprivateStringscopeValue;// 具体值privateStringresource;// 资源标识}
统一数据权限拦截器以 MyBatis 为例利用 MyBatis 的Interceptor机制在 SQL 执行前动态注入 WHERE 条件。
Intercepts({Signature(typeExecutor.class,methodquery,args{MappedStatement.class,Object.class,RowBounds.class,ResultHandler.class})})ComponentpublicclassDataPermissionInterceptorimplementsInterceptor{OverridepublicObjectintercept(Invocationinvocation)throwsThrowable{//
获取当前用户及角色CustomUsercurrentUserSecurityContextHolder.getContext().getAuthentication().getPrincipal();ListStringroleIdscurrentUser.getRoleIds();//
获取当前执行的 SQL ID对应 Mapper 方法MappedStatementms(MappedStatement)invocation.getArgs()[0];StringsqlIdms.getId();// e.g., com.example.mapper.OrderMapper.selectOrders//
判断是否需要数据权限控制可通过注解标记if(!requiresDataPermission(sqlId)){returninvocation.proceed();}//
查询该用户角色对应的数据权限规则ListDataPermissionRulerulesdataPermissionService.getRulesByRolesAndResource(roleIds,SALES_ORDER);//
构建动态 WHERE 条件简化示例StringwhereClausebuildWhereClause(rules,currentUser);//
修改原 SQL实际需解析 AST 或使用占位符此处为示意// 更推荐在 Mapper XML 中预留 if testdataFilter ! null.../if由 Service 注入参数// 此处仅为说明原理returninvocation.proceed();}privateStringbuildWhereClause(ListDataPermissionRulerules,CustomUseruser){for(DataPermissionRulerule:rules){if(ALL.equals(rule.getScopeType())){return;// 无限制}elseif(REGION.equals(rule.getScopeType())){return AND region rule.getScopeValue();}elseif(DEPT.equals(rule.getScopeType())){return AND dept_id user.getDeptId();}}return AND 10;// 默认拒绝}}更推荐的做法不在拦截器中直接改写 SQL而是在 Service 层根据权限规则构造查询参数传递给 Mapper。
例如publicListOrdergetOrders(){DataPermissionContextctxdataPermissionService.buildContext(SALES_ORDER);returnorderMapper.selectOrders(ctx);// ctx 包含 region/dept 等过滤条件}
解决方法
总结方案说明适用场景参数注入法Service 层根据权限规则生成查询条件传入 DAO推荐结构清晰易于测试MyBatis 拦截器动态修改 SQL适合遗留系统改造但调试复杂Spring AOP 注解自定义注解标记需权限控制的方法AOP 织入逻辑灵活但需处理事务与代理问题
四、
注意事项与局限性✅ 实践建议权限规则应可配置通过管理后台维护role_data_rule表避免代码发布。
性能考量数据权限过滤应在数据库层面完成利用索引避免全表扫描后内存过滤。
组合权限处理若用户拥有多个角色需明确规则合并策略如“取并集”还是“取最宽松”。
审计与日志记录敏感数据访问行为便于追溯。
⚠️ 模型局限性不适用于高度动态或上下文相关的权限例如“只能查看自己创建的订单但主管可查看下属的”。
此时需引入ABAC属性基访问控制。
复杂多维过滤支持弱如“区域A的经理可看区域AB的数据”需扩展scope_value为 JSON 或关联多值表。
跨服务数据权限难统一微服务架构下需通过统一权限中心或 Token 传递上下文。
结语在传统 RBAC 上扩展数据权限维度是一种平衡开发效率与管控粒度的有效手段。
它实现相对简单易于与现有系统集成特别适合组织架构清晰、数据隔离规则明确的业务场景如按部门、区域、租户划分。
然而面对更复杂的权限需求如基于时间、状态、关系链的动态判断开发者应评估是否需引入 ABAC 或自定义策略引擎。
没有万能的权限模型只有最适合当前业务阶段的方案。
关键原则权限逻辑应集中管理、可配置、低侵入且不影响核心业务流程的可读性与可维护性。
希望本文的分析与示例能为正在构建或优化权限系统的你提供有价值的参考。
精彩博文Vue3 模块语法革命移除过滤器Filters的深度解析与迁移指南Vue3性能优化全解析从Tree-Shaking到响应式数据的革命性提升Java语言多态特性在Spring Boot中的体现从原理到实战Vue3 生命周期钩子大改版从选项式到组合式的优雅进化