MySQL数据库字段级权限设计

一、 引言

• 业务场景

  • 在一个类似数据统计的系统中，由于统计的数据较多，就有较多的表，每个表有较多的字段，但是又不想让每个用户都看到全部的表或者表的全部字段，比如一些重要的统计数据，应该是只有管理员才能看到的。

  • 举个例子(无实际意义)

    ID	name	day_amount	week_amount	month_amount
    1	脑点子	1,000	7,000	30,000

    A用户只能看到name，day_amount 两个字段；B用户只能看到name，month_amount两个字段。

二、 方案

• 方案一

  • 用户表、用户-表名-字段映射表
    优点：实现简单
    缺点：每个用户，每个表，每个字段都需单独设置，较为繁琐

• 方案二

  • 用户表、角色表、用户-角色映射表、角色-表名-字段映射表(优先级低)、用户-表名-字段映射表(优先级高)
    优点：可通过角色实现批量设置权限；且也可对某个用户权限进行单独设置
    缺点：权限局限于数据库单个表。

• 方案三

  • 用户表、角色表、用户-角色映射表、数据类型表、类型-表名-字段映射表(优先级低)、角色-类型映射表、用户-表名-字段映射表(优先级高)
    优点：在方案二的基础上，可实现跨表的权限控制。
    缺点：实现较为繁琐，要不要采用主要还是根据用户的需求

• 对外权限分配接口

  • 三种都按照表名作为一级节点，字段作为二级节点来分配权限。
  • 方案一只能按照单个用户来分配权限
  • 方案二按照角色/单个用户来分配
  • 方案三按照类型/单个用户来分配

• 存在的问题

  • 1）数据库结构变更时，与该表相关的所有权限都需要重新设置
  • 2）部分不在数据库的字段，如根据多列的值计算出来的属性字段的权限不好处理。
  • 3）只支持单张表的查询，不支持多表查询
  • 部分解决思路
    • 问题2）的暂时的解决思路是：再单独建一张表——用户/角色/类型-JAVA类名-属性名映射表，再配合JSON序列化的属性过滤来实现权限控制。这种方式基本跟完全写死没什么区别，对后期的维护及扩展极不友好！
    • 问题3）的解决思路是：放弃掉SQL语句的连接查询，全部改成由代码控制

三、 代码

最初是打算在Spring Aop的前置通知中通过修改目标方法参数来实现，但是通过源码发现封装目标方法参数的类是用final修饰的，所以后面换了种思路。

使用Spring的AbstractAutoProxyCreator自动代理实现，思路是通过条件判断决定是否要使用自动代理，要使用代理的话，就需要自己实现MethodInterceptor接口并重写其中invoke方法。

下面我贴出核心代码，文章最后会给出整个demo的链接

继承AbstractAutoProxyCreator类，重写getAdvicesAndAdvisorsForBean()方法

public class BeanTypeAutoProxyCreator extends AbstractAutoProxyCreator {

    @Override
    protected Object[] getAdvicesAndAdvisorsForBean(Class<?> beanClass, 
        String beanName, TargetSource customTargetSource) throws BeansException {
        return isMatch(beanClass) ? PROXY_WITHOUT_ADDITIONAL_INTERCEPTORS : DO_NOT_PROXY;
    }

    /**
     * 判断是否是需要被代理的对象
     * @param clazz 代理对象的类型
     * @return
     */
    private boolean isMatch(Class<?> clazz) {
        //有两个Class类型的类象，一个是调用isAssignableFrom方法的类对象（后称对象a），
        // 以及方法中作为参数的这个类对象(称之为对象b)，这两个对象如果满足以下条件则返回true，否则返回false：
        
        //a对象所对应类信息是b对象所对应的类信息的父类或者是父接口，简单理解即a是b的父类或接口
        //a对象所对应类信息与b对象所对应的类信息相同，简单理解即a和b为同一个类或同一个接口
        if (BaseMapper.class.isAssignableFrom(clazz)) {
            return true;
        }
        return false;

    }
}

实现MethodInterceptor接口，重写invoke()方法

public class MyMethodInterceptor implements MethodInterceptor {

    @Autowired
    private SysAccess sysAccess;

    @Override
    public Object invoke(MethodInvocation invocation) throws Throwable {

        // 权限封装类
        SysAccessCriteria result = null;
        int flag = -1;

        // 目标方法的参数
        Object[] args = invocation.getArguments();
        for (int i=0; i<args.length; i++) {
            // 只修改权限条件类型的参数
            if(args[i] instanceof SysAccessCriteria){
                SysAccessCriteria sysAccessCriteria = (SysAccessCriteria) args[i];
                result = sysAccess.getUserAceess(sysAccessCriteria);
                flag = i;
            }
        }
        // 修改目标参数
        if(flag >= 0 && result != null){
            args[flag] = result;
        }

        // 执行目标方法
        Object object = invocation.proceed();

        return object;
    }
}

配置到Spring配置文件中

<bean id="myMethodInterceptor" class="com.ysl.access.proxy.MyMethodInterceptor"></bean>
<!--配置自动代理-->
<bean id="myBeanTypeAutoProxyCreator" class="com.ysl.access.proxy.BeanTypeAutoProxyCreator">
    <!--父类属性-->
    <property name="interceptorNames">
        <list>
            <value>myMethodInterceptor</value>
        </list>
    </property>
</bean>

Demo完整代码(数据库文件在resources目录下)：https://github.com/andus-top/columns-accsss
单纯个人设计，应该有很多不足，有不好的地方可以指出，或者有更好的想法可以评论，一起交流。

参考：
https://blog.csdn.net/lilongjiu/article/details/78047051