如何通过isAccessAllowed方法实现访问控制

在Web应用开发中，确保用户的访问权限是至关重要的。本文将详细讲解一个自定义的 isAccessAllowed 方法是如何实现这一功能的。我们将逐步解析这段代码，并探讨它的安全性和实现细节。

代码概述

以下是我们讨论的核心代码段：

@Override
protected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object mappedValue) {Subject subject = getSubject(servletRequest, servletResponse);Object principal = subject != null ? subject.getPrincipal() : null;Class<? extends User> userClass = getUserClass(servletRequest, servletResponse);if (principal != null && (userClass == null || !userClass.isAssignableFrom(principal.getClass()))) {return false;}return super.isAccessAllowed(servletRequest, servletResponse, mappedValue);
}

方法签名解析

@Override：表示这个方法重写了父类的方法。
ServletRequest 和 ServletResponse：分别表示HTTP请求和响应。
Object mappedValue：通常是Shiro配置中定义的值，用于辅助权限判断。

主要逻辑解析

获取当前用户：
```
Subject subject = getSubject(servletRequest, servletResponse);
Object principal = subject != null ? subject.getPrincipal() : null;
```
- getSubject 方法获取当前请求的用户。
- 如果用户不为空，getPrincipal 方法获取用户的身份信息（通常是用户名或用户对象）。
获取请求的用户类型：
```
Class<? extends User> userClass = getUserClass(servletRequest, servletResponse);
```
- getUserClass 方法获取当前请求对应的用户类型（例如会员、商家等）。
权限判断：
```
if (principal != null && (userClass == null || !userClass.isAssignableFrom(principal.getClass()))) {return false;
}
```
- 如果用户存在 (principal != null) 且请求的用户类型不为空 (userClass != null)，并且当前用户的类型不是请求的用户类型 (!userClass.isAssignableFrom(principal.getClass()))，则返回 false，表示不允许访问。
调用父类的权限判断：
```
return super.isAccessAllowed(servletRequest, servletResponse, mappedValue);
```
- 如果上述条件不满足，则调用父类的 isAccessAllowed 方法进行进一步的权限判断。

安全性分析

principal 是通过 getSubject(servletRequest, servletResponse).getPrincipal() 获取的，它代表当前用户的身份信息。这个身份信息通常是在用户通过登录认证后，由后台系统（如Shiro）管理并存储的。

获取 `principal` 的过程：

用户登录：
- 用户在前端页面输入用户名和密码进行登录。
- 后端验证用户名和密码正确后，会创建一个用户会话，并将用户信息（principal）存储在会话中。
获取 Subject：
- getSubject(servletRequest, servletResponse) 方法从当前请求中获取与会话关联的 Subject 对象。
- Subject 对象包含当前用户的身份信息和权限信息。
获取 principal：
- subject.getPrincipal() 获取当前用户的身份信息。这个信息是在用户成功登录后存储在 Subject 中的，通常是由后台系统管理的用户对象或用户名。

安全措施（续）

会话管理（续）：
- 用户登录成功后，系统会为用户创建一个唯一的会话（Session），并将用户的身份信息（principal）存储在会话中。
- 每次请求都会携带会话ID，系统根据会话ID获取存储的用户信息。
Token认证：
- 使用JWT（JSON Web Token）等方式，在用户登录成功后生成一个Token，包含用户的身份信息。
- 每次请求携带Token，后台会验证Token的有效性和完整性。
加密和签名：
- 身份信息和Token在传输过程中使用加密技术（如HTTPS）进行保护，防止被窃听或篡改。
- 使用数字签名来确保Token的完整性和不可伪造性。
HttpOnly和Secure标志：
- 设置会话Cookie的HttpOnly标志，防止JavaScript访问Cookie。
- 设置Secure标志，确保Cookie只在HTTPS连接中传输。

示例代码

为了更好地理解 isAccessAllowed 方法的实现，这里提供一个完整的示例代码，包括如何获取和校验 principal。

import org.apache.shiro.subject.Subject;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;public class CustomAccessControl extends SomeShiroFilterBaseClass {@Overrideprotected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object mappedValue) {Subject subject = getSubject(servletRequest, servletResponse);Object principal = subject != null ? subject.getPrincipal() : null;Class<? extends User> userClass = getUserClass(servletRequest, servletResponse);if (principal != null && (userClass == null || !userClass.isAssignableFrom(principal.getClass()))) {return false;}return super.isAccessAllowed(servletRequest, servletResponse, mappedValue);}// 获取用户类型的方法示例private Class<? extends User> getUserClass(ServletRequest request, ServletResponse response) {// 假设从请求中获取用户类型参数String userType = request.getParameter("userType");if ("member".equals(userType)) {return Member.class;} else if ("merchant".equals(userType)) {return Merchant.class;}return null;}
}