MyBatis-Plus演绎：数据权限控制，优雅至极！

前言

项目使用mybaits-plus，所以在mybaits-plus的基础上增加数据权限的过滤

mybaits-plus自带数据权限支持，但由于系统数据权限相对复杂，通过查看文档发现好像并不适用，且原项目版本低，所以最终还是通过自己的方式实现。

1 数据范围

我们系统相对复杂，比如可以按机构/用户等多种维度过滤，并且可以指定全局和某个特定接口的过滤方式

其实数据范围过滤落地也不过是：数据表的某字段限制在一个范围内，即sql中添加column in (1,2,3...)

不管怎么说第一步都是要获取用户的数据范围，比如某用户的数据范围为机构id为(1,2,3)下的数据，那么先要获取(1,2,3)

首先建立一个类来存储用户的数据范围，由于数据权限是多维度的，所以存储的是一个Map<String, List<String>>结构

public class GerneralScope extends HashMap<String,  List<String>> {
}

存储的数据类似如下

{
  "org_id": [1,2,3], // 机构id
  "user_id": [], // 为空代表不过滤用户id
  "xxx_id": [4,8] // 其它为敌
}

使用ThreadLocal进行暂存，并在拼接sql时使用，这样可以避免代码侵入

public class ScopeDataHolder {

    public final static ThreadLocal<GerneralScope> SCOPE_DATA = new ThreadLocal<>();

    public static GerneralScope get() {
        GerneralScope gerneralScope = SCOPE_DATA.get();
        SCOPE_DATA.remove(); // 获取一次就删除
        return gerneralScope;
    }

    public static void set(GerneralScope data) {
        SCOPE_DATA.set(data);
    }
}

数据结构准备好了，接下来就是获取当前用户数据范围存入ScopeDataHolder，采用注解+AOP的方式避免代码侵入

新增注解@Scope

@Documented
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
public @interface Scope {
    ApiType value() default ApiType.COMMON;
}

其中加一个参数value用来区分不同接口，即可实现特定接口单独过滤方式

AOP获取并设置数据范围

@Component
public class ScopeAspect {

   @Pointcut("@annotation(com.xxx.Scope)")
    public void injectScope() {
    }

    /**
     * 注入数据权限
     * @param joinPoint
     * @return
     */
    @Before("injectScope()")
    public void around(JoinPoint joinPoint) {
        Scope annotation = ((MethodSignature) joinPoint.getSignature()).getMethod().getAnnotation(Scope.class);
        GerneralScope userScopeData = getCurrentUserScopeData(annotation.value()); // 数据库获取当前用户+当前接口的数据范围
        ScopeDataHolder.set(userScopeData); // 存入ThreadLocal
    }
}

到此，零侵入代码情况下，通过ThreadLocal暂存了用户所配的数据范围

2 修改SQL

获取到了用户的数据范围，下一步就是在查询中加入数据范围的过滤，即修改sql

刚开始本来打算用mybaits-plus的自定义拦截器实现sql的修改，后来发现有很多坑，主要是当sql中存在left join且分页时，mybaits-plus的分页器在count查询时自动把没有查询条件的left join表去掉，如果限定数据范围的字段刚好在join表上，就会导致错误

所以最终没有采用拦截器，而是采取重写mybaits-plus的QueryWrapper类来实现，代码如下

public class ScopeQueryWrapper<T> extends QueryWrapper<T> {

    private final GerneralScope queryScope;

    public ScopeQueryWrapper() {
        this.queryScope = ScopeDataHolder.get(); // 从ThreadLocal获取数据范围
        if (this.queryScope==null) {
            throw new IllegalStateException();
        }
    }

    /**
     * 过滤需要筛选的字段
     * @param column
     */
    @SuppressWarnings("unchecked")
    public void scope(ScopeEnum type, SFunction<T, ?> column) {
        List<String> els = queryScope.get(type.getValue());
        if (els!=null && els.size()!=0) {
            lambda().in(column, els);
        }
    }

    /**
     * 过滤需要筛选的字段
     * @param fieldName
     */
    @SuppressWarnings("unchecked")
    public void scope(ScopeEnum type, String fieldName) {
        List<String> els = queryScope.get(type.getValue());
        if (els!=null && els.size()!=0) {
            in(fieldName, els);
        }
    }
}

这样只需在查询层把QueryWrapper替换为ScopeQueryWrapper，并使用scopeFilter方法来指定界限字段即可，写法如下

public Page<User> page(UserQuery query) {
    Page<User> page = new Page<>(query.getPageNum(), query.getPageSize());
    ScopeQueryWrapper<User> wrapper = new ScopeQueryWrapper<>();
    if (query.getName()!=null) {
        wrapper.lambda().like(User::getName,query.getName());
    }
    /** 数据权限 start **/
    wrapper.scope(ScopeEnum.orgId, User:getOrgId); // 指定机构id字段
    wrapper.scope(ScopeEnum.userId, "user.id"); // 指定用户id字段,字符串方式可以防止join字段重名
    ...省略其它过滤条件
    /** 数据权限 end**/
    wrapper.lambda().orderByDesc(User::getId);
    Page<User> result = page(page, wrapper);
    return result;
}

如上，需要指定具体需要过滤的字段，由于是多维度，可能会指定很多，ScopeEnum即各维度的枚举，scope方法中的getValue获取到的即用户设置范围数据的key

ScopeEnum

scope接受字符串形式，可以避免join时字段有歧义

以上代码出现了代码的侵入，但自认为可以接受，如果不需要多维度可以进一步简略

最终，执行的sql大体如下

select * from user where name like "%pq%" and org_id in (1,2,3) and user.id in (4,8,10)