SpringBoot权限鉴定方式详解

一、权限鉴定基础概念

1.1 权限鉴定定义

权限鉴定（Authorization）是确定已认证用户是否有权访问特定资源或执行特定操作的过程。在SpringBoot应用中，权限鉴定是系统安全的重要组成部分。

二、SpringBoot中常见的权限鉴定方式

2.1 基于注解的权限控制

2.1.1 @DeleteMapping注解

@DeleteMapping
public Result delete(@RequestParam List<Integer> ids) {
    // 列表传递需要额外加@RequestParam注解
    log.info("删除员工,参数:{}", ids);
    empService.delete(ids);
    return Result.success();
}

2.1.2 参数接收方式对比

• 列表参数：需要使用@RequestParam注解
• 数组参数：直接对应名字即可

// 列表方式
@DeleteMapping
public Result delete(@RequestParam List<Integer> ids)

// 数组方式  
@DeleteMapping
public Result delete(Integer[] ids)

2.2 数据库操作权限控制

2.2.1 批量删除操作

Service层实现：

@Override
public void delete(List<Integer> ids) {
    // 删除员工经历
    empExprMapper.deleteBatch(ids);
    // 删除员工基本信息
    empMapper.deleteBatch(ids);
}

Mapper层SQL实现：

<!-- 删除员工经历 -->
<delete id="deleteBatch">
    delete from emp_expr where emp_id in
    <foreach collection="ids" item="id" open="(" close=")" separator=",">
        #{id}
    </foreach>
</delete>

<!-- 删除员工基本信息 -->
<delete id="deleteBatch">
    delete from emp where id in
    <foreach collection="ids" item="id" open="(" close=")" separator=",">
        #{id}
    </foreach>
</delete>

2.2.2 MyBatis动态SQL标签

• <foreach>：用于遍历集合
• collection：指定集合参数名
• item：当前遍历的元素变量名
• open/close：循环开始和结束时的字符串
• separator：元素间的分隔符

2.3 复杂结果集映射

2.3.1 手动结果映射

当返回类型太复杂无法自动封装时，需要手动定义ResultMap：

<select id="getinfo" resultMap="empResultMap">
    <!-- 查询语句 -->
</select>

<resultMap id="empResultMap" type="com.itheima.pojo.Emp">
    <id column="id" property="id"/>
    <result column="username" property="username"/>
    <result column="password" property="password"/>
    
    <!-- 集合属性映射 -->
    <collection property="exprList" ofType="com.itheima.pojo.EmpExpr">
        <id column="ee_id" property="id"/>
        <result column="begin" property="begin"/>
    </collection>
</resultMap>

2.3.2 ResultMap配置要点

• <id>：用于映射主键字段
• <result>：用于映射普通字段
• <collection>：用于映射集合属性
• property：实体类中的属性名
• ofType：集合中元素的类型

2.4 动态更新操作

2.4.1 条件更新语句

<update id="update">
    update emp
    <set>
        <if test="username != null">username = #{username},</if>
        <if test="password != null">password = #{password},</if>
        <!-- 更多条件判断 -->
    </set>
    where id = #{id}
</update>

2.4.2 动态SQL标签

• <set>：自动处理SET语句中的逗号
• <if>：条件判断标签
• test：判断条件表达式

三、高级权限鉴定技术

3.1 全局异常处理

3.1.1 异常处理机制

@ControllerAdvice
public class GlobalExceptionHandler {
    
    @ExceptionHandler(Exception.class)
    public ResponseEntity<Result> handleException(Exception e) {
        // 异常处理逻辑
        return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR)
                           .body(Result.error("系统异常"));
    }
}

3.1.2 异常处理要点

• 统一异常处理入口
• 自定义异常信息返回
• 日志记录和监控

3.2 数据统计与权限分析

3.2.1 员工信息统计

• 职位分布统计
• 性别比例统计
• 权限使用情况分析

四、安全开发最佳实践

4.1 SQL注入防护

• 使用MyBatis参数绑定
• 避免字符串拼接SQL
• 严格的输入验证

4.2 权限粒度控制

• 基于角色的访问控制（RBAC）
• 基于资源的权限管理
• 操作级别的权限校验

4.3 日志记录与审计

@Slf4j
@RestController
public class EmpController {
    
    @DeleteMapping
    public Result delete(@RequestParam List<Integer> ids) {
        log.info("删除员工操作，操作人：{}，参数：{}", 
                 SecurityUtils.getCurrentUser(), ids);
        // 业务逻辑
    }
}

五、JWT令牌在权限鉴定中的应用

5.1 JWT基础结构

• Header（头部）
• Payload（负载）
• Signature（签名）

5.2 JWT权限鉴定流程

1. 用户登录获取JWT令牌
2. 每次请求携带JWT令牌
3. 服务端验证令牌有效性
4. 解析令牌获取用户权限信息
5. 基于权限进行访问控制

六、综合示例：完整的权限鉴定系统

6.1 控制器层权限控制

@RestController
@RequestMapping("/api/employees")
@PreAuthorize("hasRole('ADMIN')")
public class EmployeeController {
    
    @DeleteMapping
    @PreAuthorize("hasAuthority('EMPLOYEE_DELETE')")
    public Result deleteEmployees(@RequestParam List<Integer> ids) {
        // 权限验证通过后执行删除操作
        return employeeService.deleteBatch(ids);
    }
    
    @PutMapping
    @PreAuthorize("hasAuthority('EMPLOYEE_UPDATE')")
    public Result updateEmployee(@RequestBody Employee employee) {
        // 更新操作权限验证
        return employeeService.update(employee);
    }
}

6.2 服务层业务逻辑

@Service
@Transactional
public class EmployeeService {
    
    @Autowired
    private EmployeeMapper employeeMapper;
    
    public Result deleteBatch(List<Integer> ids) {
        try {
            // 批量删除操作
            employeeMapper.deleteBatch(ids);
            log.info("成功删除员工ID：{}", ids);
            return Result.success("删除成功");
        } catch (Exception e) {
            log.error("删除员工失败：{}", e.getMessage());
            throw new BusinessException("删除操作失败");
        }
    }
}

本教学文档详细介绍了SpringBoot中常见的权限鉴定方式，涵盖了从基础注解使用到高级权限控制的全套解决方案，为开发者构建安全的Web应用提供了完整的技术指导。