数据权限拦截器,多租户拦截器

一、背景介绍

WEB类型软件产品,在Java(SpringBoot)+MybatisPlus架构场景下,本文针对下面两个问题,提供解决方案:

  • 多租户的产品,想在表内级别上,实现租户数据隔离(分表、分库方案不在本文讨论范围内)。
  • ToB、ToG类型的软件产品,需要实现数据权限鉴权。例如用户数据、部门数据、租户数据等不同级别的鉴权。

Demo源码仓库:java-test: java练习Demo项目 - Gitee.com

二、MybatisPlus插件

MyBatis-Plus官网

MyBatis-Plus插件

目前MybatisPlus官方文档中已有的插件功能:

  • 自动分页: PaginationInnerInterceptor
  • 多租户: TenantLineInnerInterceptor
  • 动态表名: DynamicTableNameInnerInterceptor
  • 乐观锁: OptimisticLockerInnerInterceptor
  • sql 性能规范: IllegalSQLInnerInterceptor
  • 防止全表更新与删除: BlockAttackInnerInterceptor

各种插件的使用方法,网上资料也比较多,大家可自行百度。

另外,在MybatisPlus 3.x及以后的版本里,我们可以从源码里找到DataPermissionInterceptor数据权限处理器插件,虽然截止本文编写时(20230117),官网文档中还没有此插件的说明,但已经能百度到DataPermissionInterceptor拦截器的一些使用案例了。

个人感觉相比多租户拦截器TenantLineInnerInterceptor的用法,官方提供的数据权限拦截器DataPermissionInterceptor使用起来还是过于复杂,而且针对CRUD操作的鉴权功能也不够强大,因此参考多租户拦截器的实现原理,对数据权限拦截器进行了改造,后续有空了会将改造后的代码推荐给官方,看是否可以被采纳。见Demo源码仓库。

MybatisPlus的maven依赖:

            com.baomidou        mybatis-plus-boot-starter                3.5.3.1                mysql        mysql-connector-java        8.0.29                org.springframework.boot        spring-boot-starter-web        2.3.4.RELEASE    

本文后续的例子中,所用的数据库结构:

/* Navicat Premium Data Transfer Source Server         : mysql8 Source Server Type    : MySQL Source Server Version : 80027 Source Host           : localhost:3306 Source Schema         : wsp-test Target Server Type    : MySQL Target Server Version : 80027 File Encoding         : 65001 Date: 17/01/2023 16:26:17*/SET NAMES utf8mb4;SET FOREIGN_KEY_CHECKS = 0;-- ------------------------------ Table structure for wsp_org-- ----------------------------DROP TABLE IF EXISTS `wsp_org`;CREATE TABLE `wsp_org`  (  `id` bigint UNSIGNED NOT NULL AUTO_INCREMENT COMMENT '主键ID',  `create_time` timestamp NOT NULL COMMENT '创建时间',  `update_time` timestamp NOT NULL COMMENT '更新时间',  `org_name` varchar(300) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '部门名称',  `org_address` varchar(300) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '部门地址',  PRIMARY KEY (`id`) USING BTREE) ENGINE = InnoDB AUTO_INCREMENT = 1 CHARACTER SET = utf8 COLLATE = utf8_general_ci COMMENT = '部门表' ROW_FORMAT = Dynamic;-- ------------------------------ Table structure for wsp_role-- ----------------------------DROP TABLE IF EXISTS `wsp_role`;CREATE TABLE `wsp_role`  (  `id` bigint UNSIGNED NOT NULL AUTO_INCREMENT COMMENT '主键ID',  `create_time` timestamp NOT NULL COMMENT '创建时间',  `update_time` timestamp NOT NULL COMMENT '更新时间',  `tenant_id` bigint NULL DEFAULT NULL COMMENT '租户id',  `role_name` varchar(300) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '角色名称',  `role_code` varchar(50) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '角色编码',  PRIMARY KEY (`id`) USING BTREE) ENGINE = InnoDB AUTO_INCREMENT = 1 CHARACTER SET = utf8 COLLATE = utf8_general_ci COMMENT = '角色表' ROW_FORMAT = Dynamic;-- ------------------------------ Table structure for wsp_user-- ----------------------------DROP TABLE IF EXISTS `wsp_user`;CREATE TABLE `wsp_user`  (  `id` bigint unsigned NOT NULL AUTO_INCREMENT COMMENT '主键ID',  `create_time` timestamp NOT NULL COMMENT '创建时间',  `create_by` bigint unsigned NOT NULL COMMENT '创建人',  `update_time` timestamp NOT NULL COMMENT '更新时间',  `tenant_id` bigint NOT NULL COMMENT '租户id',  `org_id` bigint NOT NULL COMMENT '部门id',  `role_id` bigint NOT NULL COMMENT '角色id',  `name` varchar(300) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL COMMENT '姓名',  `age` int unsigned NOT NULL DEFAULT '0' COMMENT '年龄',  PRIMARY KEY (`id`) USING BTREE) ENGINE = InnoDB AUTO_INCREMENT = 1 CHARACTER SET = utf8 COLLATE = utf8_general_ci COMMENT = '用户表' ROW_FORMAT = Dynamic;SET FOREIGN_KEY_CHECKS = 1;

三、基于MybatisPlus的多租户插件

1、开发步骤

TenantLineInnerInterceptor是MybatisPlus中提供的多租户插件,其使用方法大致分为下面三步:

步骤一、设置环境变量,配置拦截规则

对夸租户的表设置白名单,忽略多租户拦截,这些配置可以放到配置文件中进行环境配置,例如:

tenant:  enable: true  column: tenant_id  filterTables:  ignoreTables:    - wsp_org  ignoreLoginNames:

例如wsp_org表结构中,没有tenant_id多租户字段,那么多租户拦截器不拦截该表。

import org.springframework.boot.context.properties.ConfigurationProperties;import java.util.List;/** * 多租户配置类 * * @author [email protected] * @Date 2023-01-11 */@[email protected]@ConfigurationProperties(prefix = "tenant")public class TenantProperties {    /**     * 是否开启多租户     */    private Boolean enable = true;    /**     * 租户id字段名     */    private String column = "tenant_id";    /**     * 需要进行租户id过滤的表名集合     */    private List filterTables;    /**     * 需要忽略的多租户的表,此配置优先filterTables,若此配置为空则启用filterTables     */    private List ignoreTables;    /**     * 需要排除租户过滤的登录用户名     */    private List ignoreLoginNames;}

步骤二、实现TenantLineHandler接口

实现TenantLineHandler接口

import com.baomidou.mybatisplus.extension.plugins.handler.TenantLineHandler;import com.sky.wsp.mybatis.plus.utils.SecurityContextHolder;import com.sky.wsp.mybatis.plus.config.properties.TenantProperties;import net.sf.jsqlparser.expression.Expression;import net.sf.jsqlparser.expression.LongValue;import java.util.List;/** * 多租户处理类 * * @author [email protected] * @Date 2023-01-11 */public class MultiTenantHandler implements TenantLineHandler {    private final TenantProperties properties;    public MultiTenantHandler(TenantProperties properties) {        this.properties = properties;    }    /**     * 获取租户 ID 值表达式,只支持单个 ID 值     * 

* * @return 租户 ID 值表达式 */ @Override public Expression getTenantId() { Long tenantId = SecurityContextHolder.getTenantId(); return new LongValue(tenantId); } /** * 获取租户字段名 *

* 默认字段名叫: tenant_id * * @return 租户字段名 */ @Override public String getTenantIdColumn() { return properties.getColumn(); } /** * 根据表名判断是否忽略拼接多租户条件 *

* 默认都要进行解析并拼接多租户条件 * * @param tableName 表名 * @return 是否忽略, true:表示忽略,false:需要解析并拼接多租户条件 */ @Override public boolean ignoreTable(String tableName) { //忽略指定用户对租户的数据过滤 List ignoreLoginNames=properties.getIgnoreLoginNames(); String loginName=SecurityContextHolder.getUsername(); if(null!=ignoreLoginNames && ignoreLoginNames.contains(loginName)){ return true; } //忽略指定表对租户数据的过滤 List ignoreTables = properties.getIgnoreTables(); if (null != ignoreTables && ignoreTables.contains(tableName)) { return true; } return false; }}

步骤三、启用TenantLineInnerInterceptor多租户拦截器

import com.baomidou.mybatisplus.annotation.DbType;import com.baomidou.mybatisplus.core.handlers.MetaObjectHandler;import com.baomidou.mybatisplus.extension.plugins.MybatisPlusInterceptor;import com.baomidou.mybatisplus.extension.plugins.inner.TenantLineInnerInterceptor;import com.sky.wsp.mybatis.plus.config.properties.TenantProperties;import com.sky.wsp.mybatis.plus.handler.DBMetaObjectHandler;import com.sky.wsp.mybatis.plus.handler.MultiTenantHandler;import org.springframework.boot.autoconfigure.condition.ConditionalOnMissingBean;import org.springframework.boot.context.properties.EnableConfigurationProperties;import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;/** * MybatisPlus配置类 * * @author [email protected] * @Date 2023-01-11 */@Configuration(proxyBeanMethods = false)@EnableConfigurationProperties({        TenantProperties.class,        DataPermissionProperties.class})public class MybatisPlusConfig {    /**     * 单页分页条数限制(默认无限制,参见 插件#handlerLimit 方法)     */    private static final Long MAX_LIMIT = 1000L;    @Bean    public MybatisPlusInterceptor mybatisPlusInterceptor(TenantProperties tenantProperties) {        MybatisPlusInterceptor interceptor = new MybatisPlusInterceptor();        if (Boolean.TRUE.equals(tenantProperties.getEnable())) {            // 启用多租户拦截            interceptor.addInnerInterceptor(new TenantLineInnerInterceptor(new MultiTenantHandler(tenantProperties)));        }        return interceptor;    }    @Bean    @ConditionalOnMissingBean    public MetaObjectHandler metaObjectHandler() {        return new DBMetaObjectHandler();    }}

2、执行结果

针对MybatisPlus提供的API、自定义Mapper中的statement(不清楚statement概念的同学可自行百度)我都进行了测试,均可正常拦截,下面附上一些拦截前后SQL对比的例子:

例1:使用MybatisPlus的insert方法,添加数据时会自动初始化tenant_id列

处理前处理后
INSERT INTO wsp_user (
create_time,
create_by,
update_time,
org_id,
role_id,
NAME,
age
)
VALUES
(
?,
?,
?,
?,
?,
?,
?
)
INSERT INTO wsp_user (
create_time,
create_by,
update_time,
org_id,
role_id,
NAME,
age,
tenant_id
)
VALUES
(?,
?,
?,
?,
?,
?,
?,
1)

例2:使用MybatisPlus的insert方法,添加数据时会自动初始化tenant_id列

处理前处理后
SELECT
id,
create_time,
update_time,
tenant_id,
org_id,
role_id,
NAME,
age
FROM
wsp_user
WHERE
id =?
SELECT
id,
create_time,
update_time,
tenant_id,
org_id,
role_id,
NAME,
age
FROM
wsp_user
WHERE
id = ?
AND tenant_id = 1

例3:使用自定义Mapper的statement方法

处理前处理后
SELECT
id,
create_time,
update_time,
tenant_id,
org_id,
NAME,
age
FROM
wsp_user AS USER
WHERE
USER.id = ?
SELECT
id,
create_time,
update_time,
tenant_id,
org_id,
NAME,
age
FROM
wsp_user AS USER
WHERE
USER.id = ?
AND USER.tenant_id = 1

例4:使用自定义Mapper的statement方法,进行多表关联查询

处理前处理后
SELECT USER
.tenant_id,
USER.org_id,
org.org_name,
org.org_address,
USER.role_id,
role.role_name,
role.role_code,
USER.id AS user_id,
USER.NAME AS user_name,
USER.age AS user_age
FROM
wsp_user
AS USER LEFT JOIN wsp_org AS org ON USER.org_id = org.id
LEFT JOIN wsp_role AS role ON USER.role_id = role.id
WHERE
USER.id = ?
SELECT USER
.tenant_id,
USER.org_id,
org.org_name,
org.org_address,
USER.role_id,
role.role_name,
role.role_code,
USER.id AS user_id,
USER.NAME AS user_name,
USER.age AS user_age
FROM
wsp_user
AS USER LEFT JOIN wsp_org AS org ON USER.org_id = org.id
LEFT JOIN wsp_role AS role ON USER.role_id = role.id
AND role.tenant_id = 1
WHERE
USER.id = ?
AND USER.tenant_id = 1

四、基于MybatisPlus实现自定义数据权限插件

由于官方提供的数据权限拦截器DataPermissionInterceptor,只能自己拼装SQL来实现数据鉴权,拼装SQL操作比较困难,因此参考多租户拦截器,对数据权限拦截器进行了改造,简化了使用难度,见Demo源码仓库:

  • 支持自定义数据权限标记列,即使用表的哪个列进行数据权限过滤
  • 支持自定义表白名单、账号白名单
  • 数据权限包括:是否是创建者、是否有部门数据权限
  • select查询时,自动补充数据权限过滤条件
  • insert添加时,自动校验插入数据的部门外键,是否在当前登录人的操作权限范围内
  • update更新时,自动校验更新数据的部门外键,是否在当前登录人的操作权限范围内
  • delete删除时,自动补充数据权限过滤条件

注意:数据权限的id外键,在新建数据时,是无法通过拦截器进行初始化的,因为一个账号的数据权限,通常会包含多个部门,那新建数据时,到底是属于哪个部门下的数据,不好判断,因此由用户自己(开发人员)在业务代码中对数据权限id进行初始化。

1、开发步骤

类似多租户插件,数据权限插件使用方法也大致分为下面三步:

步骤一、设置环境变量,配置拦截规则

对夸部门共享的表设置白名单,忽略多数据权限拦截,这些配置可以放到配置文件中进行环境配置,例如:

data:  permission:    enable: true    # 创建人的标记列    dataCreatorColumn: create_by    # 部门数据权限的标记列    dataPermissionIdColumn: org_id    filterTables:    ignoreTables:      # 不进行数据鉴权拦截的表      - wsp_org      - wsp_role    ignoreLoginNames:

例如wsp_org、wsp_role表结构中,没有org_id部门外键,那么数据权限拦截器不拦截该表。

import org.springframework.boot.context.properties.ConfigurationProperties;import java.util.List;/** * 数据权限配置类 * * @author [email protected] * @Date 2023-01-11 */@[email protected]@ConfigurationProperties(prefix = "data.permission")public class DataPermissionProperties {    /**     * 是否开启数据权限拦截     */    private Boolean enable = true;    /**     * 数据创建人字段名     */    private String dataCreatorColumn = "creator";    /**     * 数据权限id字段名     */    private String dataPermissionIdColumn = "permission_id";    /**     * 需要进行数据权限id过滤的表名集合     */    private List filterTables;    /**     * 需要忽略的多数据权限的表,此配置优先filterTables,若此配置为空则启用filterTables     */    private List ignoreTables;    /**     * 需要排除数据权限过滤的登录用户名     */    private List ignoreLoginNames;}

步骤二、实现MyDataPermissionHandler接口

实现MyDataPermissionHandler接口,(这个接口也是参考多租户的接口新建的)

import com.sky.wsp.mybatis.plus.config.properties.DataPermissionProperties;import com.sky.wsp.mybatis.plus.plugins.handler.MyDataPermissionHandler;import com.sky.wsp.mybatis.plus.utils.SecurityContextHolder;import java.util.List;/** * 基于用户组织机构(Org)的数据权限处理类 * * @author [email protected] * @Date 2023-01-11 */public class OrgDataPermissionHandler implements MyDataPermissionHandler {    private final DataPermissionProperties properties;    public OrgDataPermissionHandler(DataPermissionProperties properties) {        this.properties = properties;    }    @Override    public Long getDataCreator() {        // user_id作为creator        return SecurityContextHolder.getUserId();    }    @Override    public String getDataCreatorColumn() {        // user_id作为creator        return properties.getDataCreatorColumn();    }    @Override    public List getDataPermissionIdSet() {        // org_id作为数据权限        return SecurityContextHolder.getOrgIds();    }    @Override    public String getDataPermissionIdColumn() {        // org_id作为数据权限        return properties.getDataPermissionIdColumn();    }    @Override    public boolean ignoreTable(String tableName) {        //忽略指定用户对数据权限的过滤        List ignoreLoginNames=properties.getIgnoreLoginNames();        String loginName=SecurityContextHolder.getUsername();        if(null!=ignoreLoginNames && ignoreLoginNames.contains(loginName)){            return true;        }        //忽略指定表对数据权限的过滤        List ignoreTables = properties.getIgnoreTables();        if (null != ignoreTables && ignoreTables.contains(tableName)) {            return true;        }        return false;    }}

步骤三、启用MyDataPermissionInterceptor多租户拦截器

MyDataPermissionInterceptor就是参考多租户拦截器实现的数据权限拦截器,核心逻辑都在这个类里。

import com.baomidou.mybatisplus.annotation.DbType;import com.baomidou.mybatisplus.core.handlers.MetaObjectHandler;import com.baomidou.mybatisplus.extension.plugins.MybatisPlusInterceptor;import com.baomidou.mybatisplus.extension.plugins.inner.OptimisticLockerInnerInterceptor;import com.baomidou.mybatisplus.extension.plugins.inner.PaginationInnerInterceptor;import com.baomidou.mybatisplus.extension.plugins.inner.TenantLineInnerInterceptor;import com.sky.wsp.mybatis.plus.config.properties.DataPermissionProperties;import com.sky.wsp.mybatis.plus.config.properties.TenantProperties;import com.sky.wsp.mybatis.plus.handler.DBMetaObjectHandler;import com.sky.wsp.mybatis.plus.handler.MultiTenantHandler;import com.sky.wsp.mybatis.plus.handler.OrgDataPermissionHandler;import com.sky.wsp.mybatis.plus.plugins.inner.MyDataPermissionInterceptor;import org.springframework.boot.autoconfigure.condition.ConditionalOnMissingBean;import org.springframework.boot.context.properties.EnableConfigurationProperties;import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;/** * MybatisPlus配置类 * * @author [email protected] * @Date 2023-01-11 */@Configuration(proxyBeanMethods = false)@EnableConfigurationProperties({        TenantProperties.class,        DataPermissionProperties.class})public class MybatisPlusConfig {    /**     * 单页分页条数限制(默认无限制,参见 插件#handlerLimit 方法)     */    private static final Long MAX_LIMIT = 1000L;    @Bean    public MybatisPlusInterceptor mybatisPlusInterceptor(TenantProperties tenantProperties, DataPermissionProperties dataPermissionProperties) {        MybatisPlusInterceptor interceptor = new MybatisPlusInterceptor();        if (Boolean.TRUE.equals(tenantProperties.getEnable())) {            // 启用多租户拦截            interceptor.addInnerInterceptor(new TenantLineInnerInterceptor(new MultiTenantHandler(tenantProperties)));        }        if (Boolean.TRUE.equals(dataPermissionProperties.getEnable())) {            // 启用数据权限拦截            interceptor.addInnerInterceptor(new MyDataPermissionInterceptor(new OrgDataPermissionHandler(dataPermissionProperties)));        }        // 分页拦截        PaginationInnerInterceptor paginationInterceptor = new PaginationInnerInterceptor(DbType.MYSQL);        paginationInterceptor.setMaxLimit(MAX_LIMIT);        interceptor.addInnerInterceptor(paginationInterceptor);        // 乐观锁拦截        interceptor.addInnerInterceptor(new OptimisticLockerInnerInterceptor());        return interceptor;    }    @Bean    @ConditionalOnMissingBean    public MetaObjectHandler metaObjectHandler() {        return new DBMetaObjectHandler();    }}

2、执行结果

针对MybatisPlus提供的API、自定义Mapper中的statement(不清楚statement概念的同学可自行百度)我都进行了测试,均可正常拦截,下面附上一些拦截前后SQL对比的例子:

处理前处理后
SELECT USER
.tenant_id,
USER.org_id,
org.org_name,
org.org_address,
USER.role_id,
role.role_name,
role.role_code,
USER.id AS user_id,
USER.NAME AS user_name,
USER.age AS user_age
FROM
wsp_user
AS USER LEFT JOIN wsp_org AS org ON USER.org_id = org.id
LEFT JOIN wsp_role AS role ON USER.role_id = role.id
WHERE
USER.id = ?
SELECT USER
.tenant_id,
USER.org_id,
org.org_name,
org.org_address,
USER.role_id,
role.role_name,
role.role_code,
USER.id AS user_id,
USER.NAME AS user_name,
USER.age AS user_age
FROM
wsp_user
AS USER LEFT JOIN wsp_org AS org ON USER.org_id = org.id
LEFT JOIN wsp_role AS role ON USER.role_id = role.id
AND role.tenant_id = 1
WHERE
USER.id = ?
AND USER.tenant_id = 1
AND (
create_by = 1
OR USER.org_id IN ( 4, 5, 6 ))

其他的增删改查的例子,同多租户拦截器,这里就不赘述了。

五、忽略拦截

在一些场景下,无需多租户拦截、无需数据鉴权拦截,或者对于一些超级管理员使用的接口,希望夸租户查询、免数据鉴权时,可以通过下面几种方式实现忽略拦截:

  • 使用MybatisPlus框架自带的@InterceptorIgnore注解,以用在Mapper类上,也可以用在方法上
  • 添加超级用户账号白名单,在自定义的Handler里进行逻辑判断,跳过拦截
  • 添加数据表白名单,在自定义的Handler里进行逻辑判断,跳过拦截
 /**     * 详情,使用@InterceptorIgnore注解,忽略多租户拦截 
* 注解@InterceptorIgnore可以用在Mapper类上,也可以用在方法上 * * @param id * @return */ @InterceptorIgnore(tenantLine = "true") UserOrgVO myFindByIdNoTenant(@Param(value = "id") Long id);
tenant:  enable: true  column: tenant_id  filterTables:  ignoreTables:    # 不进行多租户拦截的表    - wsp_org  ignoreLoginNames:    # 这里配置了ID,需要使用username的,可在MultiTenantHandler中自己实现判断逻辑    - 99    - 98data:  permission:    enable: true    dataCreatorColumn: create_by    dataPermissionIdColumn: org_id    filterTables:    ignoreTables:      # 不进行数据鉴权拦截的表      - wsp_org      - wsp_role    ignoreLoginNames:      # 这里配置了ID,需要使用username的,可在OrgDataPermissionHandler中自己实现判断逻辑      - 99       - 98

六、参考

  • Saas.数据权限控制(Sql解析)
  • or 和 in 的效率对比
  • 常见的功能权限模型
THE END
分享
二维码
< <上一篇
下一篇>>