Java注解 + 基于注解 & 拦截器实现登录验证 / 权限控制

Java中的注解是如何工作的？
java 注解的几大作用及使用方法详解
一种基于注解的Spring MVC权限控制方法
第五章 处理器拦截器详解

2017-04-17
token可以通过加密（如DES）的方式构造 / 解密：在线加密解密
密码（秘钥）生成：在线生成随机密码

一、注解的作用

1、生成文档。这是最常见的，也是Java最早提供的注解。常用的有@see @param @return 等；
2、跟踪代码依赖性，实现替代配置文件功能。比较常见的是spring 2.5 开始的基于注解配置。作用就是减少配置。现在的框架基本都使用了这种配置来减少配置文件的数量。以后java的程序开发，最多的也将实现注解配置，具有很大用处;
3、在编译时进行格式检查。如@override 放在方法前，如果你这个方法并不是覆盖了超类方法，则编译时就能检查出。

注解用例

注解的功能很强大，Spring和Hebernate这些框架在日志和有效性中大量使用了注解功能。注解可以应用在使用标记接口的地方。不同的是标记接口用来定义完整的类，但你可以为单个的方法定义注释，例如是否将一个方法暴露为服务。

在最新的servlet3.0中引入了很多新的注解，尤其是和servlet安全相关的注解。

  • HandlesTypes –该注解用来表示一组传递给ServletContainerInitializer的应用类。
  • HttpConstraint – 该注解代表所有HTTP方法的应用请求的安全约束，和ServletSecurity注释中定义的HttpMethodConstraint安全约束不同。
  • HttpMethodConstraint – 指明不同类型请求的安全约束，和ServletSecurity 注解中描述HTTP协议方法类型的注释不同。
  • MultipartConfig –该注解标注在Servlet上面，表示该Servlet希望处理的请求的 MIME 类型是 multipart/form-data。
  • ServletSecurity 该注解标注在Servlet继承类上面，强制该HTTP协议请求遵循安全约束。
  • WebFilter – 该注解用来声明一个Server过滤器；
  • WebInitParam – 该注解用来声明Servlet或是过滤器的中的初始化参数，通常配合 @WebServlet 或者 @WebFilter 使用。
  • WebListener –该注解为Web应用程序上下文中不同类型的事件声明监听器。
  • WebServlet –该注解用来声明一个Servlet的配置。

二、annotation是如何工作的？

记住：annotation仅仅是元数据，和业务逻辑无关。
怎么理解呢？annotation只是做一个“标记”，至多携带一些附加信息，比如：

// 一个自定义的annotation
@Todo(priority = Todo.Priority.MEDIUM, author = "Yashwant", status = Todo.Status.STARTED)

再比如@Override注解的实现：

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.SOURCE)
public @interface Override {

}

可以看到：什么都没有。
既然annotation仅仅是“标记”，没有实现逻辑，那么必须有人来实现这些逻辑 —— 元数据的用户来做这个事情：annotations仅仅提供它定义的属性(类/方法/包/域)的信息，annotations的用户(同样是一些代码)来读取这些信息并实现必要的逻辑，这些逻辑的实现往往是通过反射机制，通过getAnnotation()这个方法用来返回注解信息。在spring中通过HandlerInterceptorAdapter来实现逻辑。

比如说，当我们使用Java的标注annotations(例如@Override)时，JVM就是一个用户，它在字节码层面工作。到这里，应用开发人员还不能控制也不能使用自定义的注解。因此，我们讲解一下如何编写自定义的annotations。

三、编写自定义的annotation

我们来逐个讲述编写自定义Annotations的要点。上面的例子中，你看到一些注解应用在注解上。
J2SE5.0版本在 java.lang.annotation提供了四种元注解，专门注解其他的注解：

  • @Documented 注解是否将包含在JavaDoc中
  • @Retention 什么时候使用该注解
  • @Target 注解用于什么地方
  • @Inherited 是否允许子类继承该注解
@Documented

表示是否将注解信息添加在java文档中

@Retention

定义该注解的生命周期

  • RetentionPolicy.SOURCE
    在编译阶段丢弃。这些注解在编译结束之后就不再有任何意义，所以它们不会写入字节码。@Override, @SuppressWarnings都属于这类注解。

  • RetentionPolicy.CLASS
    在类加载的时候丢弃。在字节码文件的处理中有用。注解默认使用这种方式。

  • RetentionPolicy.RUNTIME
    始终不会丢弃，运行期也保留该注解，因此可以使用反射机制读取该注解的信息。我们自定义的注解通常使用这种方式。

@Target

表示该注解用于什么地方。如果不明确指出，该注解可以放在任何地方。以下是一些可用的参数。需要说明的是：属性的注解是兼容的，如果你想给7个属性都添加注解，仅仅排除一个属性，那么你需要在定义target包含所有的属性。

  • ElementType.TYPE:用于描述类、接口或enum声明
  • ElementType.FIELD:用于描述实例变量
  • ElementType.METHOD
  • ElementType.PARAMETER
  • ElementType.CONSTRUCTOR
  • ElementType.LOCAL_VARIABLE
  • ElementType.ANNOTATION_TYPE 另一个注释
  • ElementType.PACKAGE 用于记录java文件的package信息
@Inherited

定义该注释和子类的关系
那么，注解的内部到底是如何定义的呢？annotations只支持基本类型、String及枚举类型。注释中所有的属性被定义成方法，并允许提供默认值。

例子：
定义注解
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@interface Todo {
public enum Priority {LOW, MEDIUM, HIGH}
  public enum Status {STARTED, NOT_STARTED}
  String author() default "Yash";
  Priority priority() default Priority.LOW;
  Status status() default Status.NOT_STARTED;
}

// 如果注解中只有一个属性，可以直接命名为“value”，使用时无需再标明属性名：
@interface Author{
  String value();
}
使用注解
@Todo(priority = Todo.Priority.MEDIUM, author = "Yashwant", status = Todo.Status.STARTED)
public void incompleteMethod1() {
  //Some business logic is written
  //But it’s not complete yet
}

@Author("Yashwant")
public void someMethod() {
}
用户程序实现注解

我们定义了自己的注解并将其应用在业务逻辑的方法上，现在我们需要写一个用户程序调用我们的注解。这里我们需要使用反射机制。如果你熟悉反射代码，就会知道反射可以提供类名、方法和实例变量对象。所有这些对象都有getAnnotation()这个方法用来返回注解信息。我们需要把这个对象转换为我们自定义的注释(使用 instanceOf()检查之后)，同时也可以调用自定义注释里面的方法。看看以下的实例代码，使用了上面的注解:

Class businessLogicClass = BusinessLogic.class;
for(Method method : businessLogicClass.getMethods()) {
  Todo todoAnnotation = (Todo)method.getAnnotation(Todo.class);
  if(todoAnnotation != null) {
    System.out.println(" Method Name : " + method.getName());
    System.out.println(" Author : " + todoAnnotation.author());
    System.out.println(" Priority : " + todoAnnotation.priority());
    System.out.println(" Status : " + todoAnnotation.status());
  }
}

四、annotation+spring mvc实现权限控制

参考：一种基于注解的Spring MVC权限控制方法

四、annotation+spring mvc实现登录验证

1、定义annotation：

/**
 * 登录访问控制
 */
@Target({ ElementType.METHOD, ElementType.TYPE })
@Retention(RetentionPolicy.RUNTIME)
public @interface LoginControl {
    // 是否需要验证
    Required required() default Required.YES;
    // 返回类型：Json / 重定向
    ResponseType responseType() default ResponseType.REDIRECT;
    // 登录验证类
    Class<? extends LoginValidator> validatorClass() default UcenterDefaultLoginValidator.class;
    // 是否需要https登录
    Required needHttps() default Required.NO;
}

3、登录校验器：

/**
 * 登录校验器
 */
public interface LoginValidator {
    boolean validate(HttpServletRequest request);
}

/**
 * 登录校验逻辑
 */
public class QsurveyLoginValidator implements LoginValidator {

    @Override
    public boolean validate(HttpServletRequest request) {
        Preconditions.checkNotNull(request);

        HttpSession session = request.getSession();
        WebApplicationContext webApplicationContext = WebApplicationContextUtils
                .getWebApplicationContext(session.getServletContext());

        Preconditions.checkNotNull(webApplicationContext);

        UserService userService = (UserService) webApplicationContext.getBean("userService");

        Preconditions.checkNotNull(userService);

        User user = userService.getCurrenUser(UserUtils.getIdFromCookie(request));

        return !(rtxUser == null || Strings.isNullOrEmpty(rtxUser.getRtxId()));
    }
}

2、interceptor拦截：

/**
 * 登录检查拦截器
 * <p/>
 * Created by fupan on 15-4-28.
 */
public class LoginInterceptor extends HandlerInterceptorAdapter {

    private static final Logger LOGGER = LoggerFactory.getLogger(LoginInterceptor.class);

    /**
     * 全局是否需要https
     */
    private boolean isAllNeedHttps = false;

    /**
     * 全局是否需要登陆检查
     */
    private boolean isAllNeedLogin = false;

    /**
     * 跳转登陆的url
     */
    private String loginUrl = "https://xxxx.com/passport/login.jsp";

    private ResponseType defaultResponseType = ResponseType.REDIRECT;

    private Class<? extends LoginValidator> defaultClass = UcenterDefaultLoginValidator.class;

    // 登录验证处理类缓存：防止反复创建大量对象
    private LoadingCache<Class<? extends LoginValidator>, LoginValidator> validatorCache = CacheBuilder.newBuilder()
            .build(new CacheLoader<Class<? extends LoginValidator>, LoginValidator>() {
                @Override
                public LoginValidator load(Class<? extends LoginValidator> validatorClass) throws Exception {
                    Constructor<?>[] constructors = validatorClass.getConstructors();
                    LoginValidator loginValidator = (LoginValidator) constructors[0].newInstance();
                    return loginValidator;
                }
            });

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        // 没有加登录验证的注解：放行
        if (!(handler instanceof HandlerMethod)) {
            return true;
        }
        // 这个方法一般就是controller
        HandlerMethod handlerMethod = (HandlerMethod) handler;
        // 获取注解在对象上的注解中的LoginControl
        LoginControl beanLoginControl = handlerMethod.getBeanType().getAnnotation(LoginControl.class);
        // 获取注解在方法上的注解中的LoginControl
        LoginControl methodLoginControl = handlerMethod.getMethod().getAnnotation(LoginControl.class);
        // 方法上的注解覆盖类上的（方法注解优先）
        LoginControl loginControl = methodLoginControl == null ? beanLoginControl : methodLoginControl;
        // 方法和类上都没有声明LoginControl,采用默认配置（isAllNeedLogin），如果未配置则不需要登录
        if (loginControl == null) {
            // 默认配置需要登录
            if (isAllNeedLogin) {
                // 校验是否登陆
                if (valid(request, defaultClass)) {
                    return true;
                }
            } else {
                // 未声明注解，并且默认配置为不需要登录：放行
                return true;
            }
        } else {
            // 声明不需要登录
            if (loginControl.required() == Required.NO) {
                return true;
            }
            // 验证通过
            if (valid(request, loginControl.validatorClass())) {
                return true;
            }
        }

        // 这以下是未通过验证的处理

        ResponseType responseType = (loginControl == null) ? defaultResponseType : loginControl.responseType();

        // 用户未登录，声明了返回值类型为ResponseType.JSON
        if (responseType == ResponseType.JSON) {
            ApiResponse apiResponse = ApiResponseUtils.buildErrorApiResponse(CommonErrMsgEnum.ERR_USER_NOT_LOGIN, null,
                    loginUrl);
            response.setContentType("application/json");
            response.setCharacterEncoding("UTF-8");
            response.getWriter().write(JsonUtil.toJson(apiResponse));
            response.flushBuffer();
            return false;
        }
        // 用户未登录，默认为跳转到登录页,ResponseType.REDIRECT
        else {
            
            // defaultUrl为StringUtils.EMPTY的原因是：判断returnUrl是否合法不应该在这处理，应该是登录时来判断
            String returnUrl = URLUtil.processReturnUrl(request.getRequestURL().toString(), StringUtils.EMPTY);
            if (loginControl == null ? isAllNeedHttps : loginControl.needHttps() == Required.YES) {
                returnUrl = URLUtil.urlToHttps(returnUrl);
            }
            if (StringUtils.isBlank(returnUrl)) {
                response.sendRedirect(loginUrl);
            } else {
                response.sendRedirect(loginUrl + "?ret=" + returnUrl);
            }
            return false;
        }
    }

    /**
     * 登录验证
     *
     * @param request
     * @param validatorClass
     * @return
     * @throws java.util.concurrent.ExecutionException
     */
    private boolean valid(HttpServletRequest request, Class<? extends LoginValidator> validatorClass)
            throws java.util.concurrent.ExecutionException {
        // 从缓存中获取一个处理类
        LoginValidator loginValidator = validatorCache.get(validatorClass);
        if (loginValidator == null) {
            LOGGER.error("配置的validatorClass为空 {}", validatorClass.getSimpleName());
            throw new IllegalArgumentException("validatorClass null");
        }
        // 登录验证
        return loginValidator.validate(request);
    }

    public void setAllNeedHttps(boolean isAllNeedHttps) {
        this.isAllNeedHttps = isAllNeedHttps;
    }

    public void setAllNeedLogin(boolean isAllNeedLogin) {
        this.isAllNeedLogin = isAllNeedLogin;
    }

    public void setLoginUrl(String loginUrl) {
        this.loginUrl = loginUrl;
    }

    public void setDefaultClass(Class<? extends LoginValidator> defaultClass) {
        this.defaultClass = defaultClass;
    }

    public void setDefaultResponseType(ResponseType defaultResponseType) {
        this.defaultResponseType = defaultResponseType;
    }
}

3、拦截器配置

<mvc:interceptors>
    <mvc:interceptor>
        <mvc:mapping path="/**"/>
        <bean class="com.xxx.interceptor.LoginInterceptor">
            <property name="loginUrl" value="${qsurvey.login.url}"/>
        </bean>
    </mvc:interceptor>
</mvc:interceptors>

4、在需要登录验证的地方添加注解

（1）加在controller类上

@Controller
@LoginControl(validatorClass = QsurveyLoginValidator.class)
public class UserSurveyController {
    private static final Logger logger = LoggerFactory.getLogger(UserSurveyController.class);
    ...

（2）加在controller方法上

@RequestMapping(value = "/")
@LoginControl(validatorClass = QsurveyLoginValidator.class)
@CommonPropertiesControl
public ModelAndView home(HttpServletRequest request) {
    ModelAndView modelAndView = new ModelAndView("index");
    ...
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 225,498评论 6赞 524
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 96,668评论 3赞 406
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 172,857评论 0赞 370
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 61,305评论 1赞 303
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 70,308评论 6赞 401
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 53,747评论 1赞 316
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 42,078评论 3赞 431
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 41,080评论 0赞 280
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 47,649评论 1赞 327
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 39,644评论 3赞 347
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 41,760评论 1赞 355
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 37,352评论 5赞 351
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 43,076评论 3赞 341
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 33,490评论 0赞 25
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 34,651评论 1赞 277
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 50,353评论 3赞 383
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 46,828评论 2赞 367

推荐阅读更多精彩内容