哈喽，各位小伙伴们，你们好呀，我是喵手。运营社区：C站/掘金/腾讯云/阿里云/华为云/51CTO；欢迎大家常来逛逛
今天我要给大家分享一些自己日常学习到的一些知识点，并以文字的形式跟大家一起交流，互相学习，一个人虽可以走的更快，但一群人可以走的更远。
我是一名后端开发爱好者，工作日常接触到最多的就是Java语言啦，所以我都尽量抽业余时间把自己所学到所会的，通过文章的形式进行输出，希望以这种方式帮助到更多的初学者或者想入门的小伙伴们，同时也能对自己的技术进行沉淀，加以复盘，查缺补漏。
小伙伴们在批阅的过程中，如果觉得文章不错，欢迎点赞、收藏、关注哦。三连即是对作者我写作道路上最好的鼓励与支持！
前言
在上一期的内容中，我们探讨了 如何在Java中识别和处理AJAX请求，分析了前后端异步交互的关键点，并展示了通过请求头判断请求类型的具体实现。这为我们后续的权限控制打下了基础。在复杂的Web应用中，权限控制是系统安全性的重要组成部分，而角色及菜单权限的管理是权限控制中的核心模块。
本期，我们将围绕 Java实现角色及菜单权限管理 进行深入探讨。通过理解角色的定义、权限的划分以及菜单与角色权限的对应关系，开发者可以实现灵活而强大的权限管理系统。我们会通过源码解析、使用案例分享、应用场景分析等角度，全面讲解如何使用Java来构建一个安全且可扩展的权限控制系统。
摘要
本篇文章着重讲解如何在Java开发中实现角色及菜单权限管理。通过定义角色、分配权限、设计菜单结构来完成系统中的权限控制。我们将详细解析核心代码、分享实际使用的案例，并讨论在不同场景下如何应用角色与权限的管理方法。此外，文章将探讨角色权限管理的优缺点，介绍核心类和方法，并提供测试用例，帮助开发者快速掌握相关知识。
概述
权限管理是现代企业系统中的关键部分，尤其在多角色、多用户的系统中，权限管理直接关系到系统的安全性和功能性。角色（Role）通常用来划分用户的权限级别，不同的角色对应不同的操作权限。而菜单权限控制则体现在用户登录后，根据其角色仅能访问或操作其所拥有权限的页面和功能。
权限模型
通常，权限管理系统有以下几个概念：
- 用户（User）：系统的使用者，拥有唯一标识。
- 角色（Role）：权限的集合，代表用户可以执行的一组操作。
- 权限（Permission）：系统中可以被控制的具体操作或资源访问。
- 菜单（Menu）：系统的前端页面或功能模块，受权限控制。
权限控制的基本思路是为用户分配一个或多个角色，每个角色拥有一组权限，而权限控制的逻辑通常通过权限校验机制在系统中实现。
源码解析
在 Java 中，角色与菜单权限管理通常可以结合 Spring Security 这样的权限框架来实现，同时可以使用数据库存储角色和权限的关系。
1. 数据模型设计
首先，我们需要在数据库中设计用户、角色、权限和菜单的表结构，并通过外键建立它们之间的关联关系。
代码语言：sql复制CREATE TABLE roles (
id BIGINT PRIMARY KEY AUTO_INCREMENT,
name VARCHAR(50) NOT NULL,
description VARCHAR(255)
);
CREATE TABLE permissions (
id BIGINT PRIMARY KEY AUTO_INCREMENT,
name VARCHAR(50) NOT NULL,
description VARCHAR(255)
);
CREATE TABLE menus (
id BIGINT PRIMARY KEY AUTO_INCREMENT,
name VARCHAR(50) NOT NULL,
url VARCHAR(255) NOT NULL
);
CREATE TABLE role_permissions (
role_id BIGINT,
permission_id BIGINT,
FOREIGN KEY (role_id) REFERENCES roles(id),
FOREIGN KEY (permission_id) REFERENCES permissions(id)
);
CREATE TABLE role_menus (
role_id BIGINT,
menu_id BIGINT,
FOREIGN KEY (role_id) REFERENCES roles(id),
FOREIGN KEY (menu_id) REFERENCES menus(id)
);2. Java实现角色与菜单权限的管理
在 Java 中，我们可以通过使用 Spring Security 框架来实现权限控制。下面的示例演示了如何为用户分配角色，并根据角色进行菜单权限的判断。
角色与权限的映射类
代码语言：java复制@Entity
public class Role {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
private String name;
@ManyToMany(fetch = FetchType.EAGER)
@JoinTable(name = "role_permissions",
joinColumns = @JoinColumn(name = "role_id"),
inverseJoinColumns = @JoinColumn(name = "permission_id"))
private Set<Permission> permissions;
// getters and setters
}
@Entity
public class Permission {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
private String name;
// getters and setters
}
@Entity
public class Menu {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id;
private String name;
private String url;
@ManyToMany(fetch = FetchType.EAGER)
@JoinTable(name = "role_menus",
joinColumns = @JoinColumn(name = "role_id"),
inverseJoinColumns = @JoinColumn(name = "menu_id"))
private Set<Role> roles;
// getters and setters
}3. 角色校验逻辑
通过 Spring Security 中的过滤器，我们可以在用户登录时，动态加载其角色和权限。
@Service
public class CustomUserDetailsService implements UserDetailsService {
@Autowired
private UserRepository userRepository;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
User user = userRepository.findByUsername(username);
if (user == null) {
throw new UsernameNotFoundException("User not found");
}
Set<GrantedAuthority> grantedAuthorities = new HashSet<>();
for (Role role : user.getRoles()) {
for (Permission permission : role.getPermissions()) {
grantedAuthorities.add(new SimpleGrantedAuthority(permission.getName()));
}
}
return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), grantedAuthorities);
}
}此处，通过 UserDetailsService 从数据库中获取用户及其角色权限，并生成相应的 GrantedAuthority 权限对象。
使用案例分享
案例 1：根据角色显示菜单
假设我们有一个后台管理系统，不同角色的用户只能看到特定的菜单。管理员（Admin）可以看到所有菜单，而普通用户（User）只能看到部分菜单。
代码语言：java复制@Controller
public class MenuController {
@GetMapping("/menu")
public String getMenu(Model model, Principal principal) {
User user = userService.findByUsername(principal.getName());
Set<Menu> menus = user.getRoles().stream()
.flatMap(role -> role.getMenus().stream())
.collect(Collectors.toSet());
model.addAttribute("menus", menus);
return "menu";
}
}案例 2：基于角色控制页面权限
在某些场景中，某些页面功能是特定角色才可以操作的。例如，管理员可以删除用户，而普通用户没有此权限。
代码语言：java复制@PreAuthorize("hasRole('ADMIN')")
@PostMapping("/deleteUser")
public String deleteUser(@RequestParam Long userId) {
userService.deleteUserById(userId);
return "redirect:/userList";
}通过 @PreAuthorize 注解，系统只允许具有 ADMIN 角色的用户调用 deleteUser 方法。
应用场景案例
- 企业内部管理系统：在复杂的企业系统中，不同部门的员工需要不同的操作权限。例如，人事部门管理员工数据，财务部门管理工资信息，IT 部门管理系统权限。通过角色与菜单权限控制，系统可以精确划分各个部门的操作权限。
- 电商后台管理：在电商系统的后台管理中，管理员可以管理所有数据，商家只能管理自己的商品，客户服务只能查看订单信息。通过合理的角色分配，确保系统安全。
优缺点分析
优点
- 高扩展性：通过灵活的角色与权限划分，开发者可以轻松为系统新增角色与权限，而无需更改底层逻辑。
- 安全性强：通过菜单和权限的严格控制，可以防止未经授权的用户访问系统敏感功能，确保系统安全。
- 易于管理：角色和权限的分离使得系统的权限管理更加清晰，维护性好，能够适应复杂的权限需求。
缺点
- 复杂性增加：当系统中的角色、权限和菜单越来越多时，管理和维护权限关系可能会变得繁琐。
- 性能问题：如果系统角色和权限过多，在权限校验时可能会带来性能问题，需要优化查询和缓存机制。
核心类方法介绍
Role 类
Role 类用于定义系统中角色的基本信息，并通过 ManyToMany 关联权限和菜单。
Permission 类
Permission 类定义了系统中的具体权限项，每个角色可以关联多个权限。
Menu 类
Menu 类用于定义系统的菜单结构，菜单与角色绑定，以实现权限控制。
CustomUserDetailsService 类
该类实现了 UserDetailsService 接口，用于加载用户及其角色权限。
测试用例
用例 1：测试角色菜单加载
代码语言：java复制@Test
public void testUserRoleMenu() {
User user = userService.findByUsername("admin");
Set<Menu> menus = user.getRoles().stream()
.flatMap(role -> role.getMenus().stream())
.collect(Collectors.toSet());
assertFalse(menus.isEmpty());
assertTrue(menus.stream().anyMatch(menu -> menu.getName().equals("Dashboard")));
}代码解析：
如下是具体的代码解析，希望对大家有所帮助：
这段Java代码是一个使用JUnit测试框架编写的单元测试用例，名为 testUserRoleMenu。它用于测试用户角色和菜单权限的逻辑。
下面是这段代码的详细解析：
@Test：这是一个JUnit注解，表示接下来的方法是测试方法。public void testUserRoleMenu() { ... }：定义了一个名为testUserRoleMenu的测试方法。User user = userService.findByUsername("admin");：调用userService的findByUsername方法，通过用户名 "admin" 获取一个User对象。这里假设userService是一个已经注入的服务层组件，用于访问用户数据。Set<Menu> menus = user.getRoles().stream()：获取user对象的角色集合，并将其转换为流。.flatMap(role -> role.getMenus().stream())：使用flatMap操作将每个角色的菜单集合扁平化为一个流。.collect(Collectors.toSet());：将流中的元素收集到一个Set集合中，确保结果中的菜单是唯一的。assertFalse(menus.isEmpty());：使用assertFalse方法来验证menus集合不为空。assertTrue(menus.stream().anyMatch(menu -> menu.getName().equals("Dashboard")));：再次将menus集合转换为流，然后使用anyMatch方法检查是否至少存在一个菜单的名称等于 "Dashboard"。
总言之，我这个测试用例的目的是验证具有 "admin" 用户名的用户是否拥有至少一个名为 "Dashboard" 的菜单权限。它首先检索用户的角色，然后检索这些角色关联的所有菜单，最后检查这些菜单中是否包含 "Dashboard"。这个测试确保了管理员用户应该拥有访问仪表盘的权限。
用例 2：测试权限控制
代码语言：java复制@Test
@WithMockUser(username = "admin", roles = {"ADMIN"})
public void testAdminAccess() throws Exception {
mockMvc.perform(post("/deleteUser")
.param("userId", "1"))
.andExpect(status().isOk());
}代码解析：
如下是具体的代码解析，希望对大家有所帮助：
这段Java代码是一个使用Spring Boot测试框架编写的集成测试用例，名为 testAdminAccess。它使用 @WithMockUser 注解来模拟一个具有特定角色的用户，并测试管理员用户对删除用户功能的访问权限。
下面是这段代码的详细解析：
@Test：这是一个JUnit注解，表示接下来的方法是测试方法。@WithMockUser(username = "admin", roles = {"ADMIN"})：这是一个Spring Security的注解，用于在测试期间创建一个模拟的认证用户。在这个例子中，模拟的用户具有 "admin" 用户名和 "ADMIN" 角色。public void testAdminAccess() throws Exception { ... }：定义了一个名为testAdminAccess的测试方法，它声明了可能抛出的异常。mockMvc.perform(post("/deleteUser").param("userId", "1"))：使用mockMvc对象执行一个模拟的 POST 请求到 "/deleteUser" 路径，并添加了一个名为 "userId" 的请求参数，值为 "1"。这里假设mockMvc是一个已经注入的MockMvc对象，用于模拟HTTP请求。andExpect(status().isOk())：使用andExpect方法来验证响应的状态是否为200 OK。这是一个Spring MVC测试框架中的匹配器，用于断言服务器的响应状态。
总言之，我这个测试用例的目的是验证具有 "ADMIN" 角色的管理员用户是否能够成功发送删除用户的请求，并且服务器返回的状态码是200 OK。通过模拟用户和请求，测试确保了权限控制逻辑按照预期工作，即管理员用户可以执行删除用户的操作。
小结
本文详细讲解了如何在 Java 中实现角色及菜单权限管理，从数据库设计到 Spring Security 的集成，再到实际场景中的应用，通过源码解析、案例分享，帮助开发者掌握这一关键技术点。通过角色和权限的合理划分，系统可以实现强大的权限控制，保障系统的安全性和扩展性。
总结
角色与菜单权限管理是现代Web系统中不可或缺的一部分。本文介绍了如何通过 Java 构建一个灵活的角色及权限控制系统，并分析了其优缺点。掌握这一技术将大大提升系统的安全性，同时通过合理的设计，还能够极大简化权限管理的复杂度。
文末
好啦，以上就是我这期的全部内容，如果有任何疑问，欢迎下方留言哦，咱们下期见。
... ...
学习不分先后，知识不分多少；事无巨细，当以虚心求教；三人行，必有我师焉！！！
wished for you successed ！！！
***
⭐️若喜欢我，就请关注我叭。
⭐️若对您有用，就请点赞叭。
⭐️若有疑问，就请评论留言告诉我叭。
