设计思路

所谓权限认证，核心逻辑就是判断一个账号是否拥有指定权限：

• 有，就让你通过。
• 没有？那么禁止访问！

深入到底层数据中，就是每个账号都会拥有一组权限码集合，框架来校验这个集合中是否包含指定的权限码。

例如：当前账号拥有权限码集合 ["user-add", "user-delete", "user-get"]，这时候我来校验权限 "user-update"，则其结果就是：验证失败，禁止访问。

项目使用的 saToken，所以使用了注解鉴权的相关功能，注解鉴权相关功能如下：

• @SaCheckLogin: 登录校验 —— 只有登录之后才能进入该方法。
• @SaCheckRole("admin"): 角色校验 —— 必须具有指定角色标识才能进入该方法。
• @SaCheckPermission("user:add"): 权限校验 —— 必须具有指定权限才能进入该方法。
• @SaCheckSafe: 二级认证校验 —— 必须二级认证之后才能进入该方法。
• @SaCheckBasic: HttpBasic校验 —— 只有通过 Basic 认证后才能进入该方法。
• @SaIgnore：忽略校验 —— 表示被修饰的方法或类无需进行注解鉴权和路由拦截器鉴权。
• @SaCheckDisable("comment")：账号服务封禁校验 —— 校验当前账号指定服务是否被封禁。

注解鉴权使用拦截器的功能，只能在只能在Controller层进行注解鉴权，那怎么实现注解的权限拦截功能呢？

功能实现

前端发起请求的时候，通过 DispatcherServlet 请求转发，就是以前的 SpringMVC 层，

boolean applyPreHandle(HttpServletRequest request, HttpServletResponse response) throws Exception {
    for(int i = 0; i < this.interceptorList.size(); this.interceptorIndex = i++) {
        HandlerInterceptor interceptor = (HandlerInterceptor)this.interceptorList.get(i);
        if (!interceptor.preHandle(request, response, this.handler)) {
            this.triggerAfterCompletion(request, response, (Exception)null);
            return false;
        }
    }

    return true;
}

所以需要重写拦截器的功能，saTakoen 实现了 SaInterceptor 这个拦截器，项目只需要实现 StpInterface 接口即可

public class SaPermissionImpl implements StpInterface {

    /**
     * 获取菜单权限列表
     */
    @Override
    public List<String> getPermissionList(Object loginId, String loginType) {
        LoginUser loginUser = LoginHelper.getLoginUser();
        UserType userType = UserType.getUserType(loginUser.getUserType());
        if (userType == UserType.SYS_USER) {
            return new ArrayList<>(loginUser.getMenuPermission());
        } else if (userType == UserType.APP_USER) {
            // 其他端 自行根据业务编写
        }
        return new ArrayList<>();
    }

    /**
     * 获取角色权限列表
     */
    @Override
    public List<String> getRoleList(Object loginId, String loginType) {
        LoginUser loginUser = LoginHelper.getLoginUser();
        UserType userType = UserType.getUserType(loginUser.getUserType());
        if (userType == UserType.SYS_USER) {
            return new ArrayList<>(loginUser.getRolePermission());
        } else if (userType == UserType.APP_USER) {
            // 其他端 自行根据业务编写
        }
        return new ArrayList<>();
    }
}

也就是说，只需要把权限和角色相关的内容，返回成一个 list ，而 Controller 层也使用对应的list值就可以实现匹配拦截的功能

@SaCheckRole(value = {  
        TenantConstants.SUPER_ADMIN_ROLE_KEY,  
        TenantConstants.TENANT_ADMIN_ROLE_KEY  
}, mode = SaMode.OR)  
@SaCheckPermission("system:menu:list")  
@GetMapping("/list")  
public R<List<SysMenuVo>> list(SysMenuBo menu) {  
    List<SysMenuVo> menus = menuService.selectMenuList(menu, LoginHelper.getUserId());  
    return R.ok(menus);  
}

例如这里会校验当前角色是否拥有 SUPER_ADMIN_ROLE_KEY 或者 TENANT_ADMIN_ROLE_KEY 的权限，当查询 getRoleList 发现当前登陆用户的角色不是这两个值则会被拦截。
而 SaCheckPermission 注解则会去查询 getPermissionList 返回的 list 是否包含 system:menu:list