文章最後更新於 2024 年 11 月 29 日

Spring Boot 中使用 MyBatis 做權限控管

一、簡介

1. 什麼是 Spring Boot？

Spring Boot 是一個基於 Spring 框架的開源框架，旨在簡化 Java 應用程序的開發，特別是微服務架構。Spring Boot 提供了預設的配置，允許開發者快速上手，並減少大量的樣板代碼。

定義與特點

• 自動配置：根據所添加的依賴，自動配置 Spring 應用程序所需的各種設置。
• 嵌入式伺服器：可以輕鬆地將應用程序打包為可執行的 JAR 檔，並自帶 Web 伺服器（如 Tomcat）。
• 生產就緒：內建健康檢查、度量與監控功能。

常見用例

• Web 應用程序
• 微服務架構
• RESTful API 開發

2. 什麼是 MyBatis？

MyBatis 是一個持久層框架，允許開發者使用簡單的 XML 或註解來設置 SQL 語句和映射結果到 Java 對象。

定義與特點

• 靈活性：開發者可以完全控制 SQL 語句，適合複雜查詢。
• 輕量級：與 Hibernate 等 ORM 框架相比，MyBatis 對於簡單的 CRUD 操作更輕量。
• 易於整合：可以輕鬆與 Spring Boot 整合。

與其他 ORM 框架的比較

特性	MyBatis	Hibernate
SQL 控制	完全控制	自動生成 SQL
學習曲線	較低	較高
性能	高	中等
支持複雜查詢	是	限制

3. 權限控管的重要性

權限控管是確保應用程序安全的重要組成部分。它通過限制用戶對資源的訪問來保護敏感數據。

為何需要權限控管

• 數據安全：避免未授權訪問敏感信息。
• 合規性：遵守法律法規（如 GDPR）。
• 用戶信任：提高用戶對應用的信任度。

權限控管的基本原則

• 最小權限原則：用戶應該只能訪問其完成任務所需的最小資源。
• 角色基礎權限控制：使用角色來管理權限，簡化控制流程。

二、環境設置

1. 搭建 Spring Boot 專案

使用 Spring Initializr 創建專案

1. 訪問 Spring Initializr
2. 設定專案元數據（如 Group、Artifact 等）
3. 添加所需的依賴，比如 Spring Web、MyBatis、Spring Security、MySQL Driver。
4. 點擊 "Generate" 下載專案。

添加必要的依賴

在 pom.xml 中添加以下依賴：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.mybatis.spring.boot</groupId>
        <artifactId>mybatis-spring-boot-starter</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <scope>runtime</scope>
    </dependency>
</dependencies>

2. 整合 MyBatis

配置 MyBatis 依賴

在 application.properties 中配置數據源：

spring.datasource.url=jdbc:mysql://localhost:3306/your_database
spring.datasource.username=root
spring.datasource.password=your_password
mybatis.mapper-locations=classpath*:mappers/*.xml

設定 MyBatis 配置文件

在 src/main/resources 目錄下創建 mybatis-config.xml：

<configuration>
    <settings>
        <setting name="mapUnderscoreToCamelCase" value="true"/>
    </settings>
</configuration>

3. 資料庫設置

選擇並配置資料庫（如 MySQL）

確保已安裝 MySQL，並創建一個名為 your_database 的資料庫。

建立必要的資料表（如用戶、角色、權限表）

CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(255) NOT NULL UNIQUE,
    password VARCHAR(255) NOT NULL
);

CREATE TABLE roles (
    id INT AUTO_INCREMENT PRIMARY KEY,
    role_name VARCHAR(255) NOT NULL UNIQUE
);

CREATE TABLE permissions (
    id INT AUTO_INCREMENT PRIMARY KEY,
    permission_name VARCHAR(255) NOT NULL UNIQUE
);

CREATE TABLE user_roles (
    user_id INT,
    role_id INT,
    PRIMARY KEY (user_id, role_id),
    FOREIGN KEY (user_id) REFERENCES users(id),
    FOREIGN KEY (role_id) REFERENCES roles(id)
);

CREATE TABLE role_permissions (
    role_id INT,
    permission_id INT,
    PRIMARY KEY (role_id, permission_id),
    FOREIGN KEY (role_id) REFERENCES roles(id),
    FOREIGN KEY (permission_id) REFERENCES permissions(id)
);

三、設計權限模型

1. 用戶、角色與權限的關係

• 用戶與角色的多對一關係：一個用戶可以擁有多個角色，但每個角色只能屬於一個用戶。
• 角色與權限的多對多關係：一個角色可以擁有多個權限，而一個權限也可以被多個角色擁有。

2. 資料庫表結構設計

表名稱	描述
users	存儲用戶基本信息
roles	存儲角色信息
permissions	存儲權限信息
user_roles	存儲用戶與角色的關係
role_permissions	存儲角色與權限的關係

3. 數據初始化

使用 SQL 腳本初始化數據

INSERT INTO roles (role_name) VALUES ('ROLE_USER'), ('ROLE_ADMIN');
INSERT INTO permissions (permission_name) VALUES ('READ_PRIVILEGES'), ('WRITE_PRIVILEGES');
INSERT INTO users (username, password) VALUES ('admin', 'password'), ('user', 'password');

測試數據插入的有效性

使用 MySQL 客戶端或工具來驗證數據是否正確插入。

四、實現權限控制

1. 使用 MyBatis 實現 CRUD 操作

編寫 Mapper 接口和 XML 映射文件

@Mapper
public interface UserMapper {
    @Insert("INSERT INTO users(username, password) VALUES(#{username}, #{password})")
    void insertUser(User user);

    @Select("SELECT * FROM users WHERE id = #{id}")
    User findById(int id);

    @Update("UPDATE users SET password = #{password} WHERE id = #{id}")
    void updateUser(User user);

    @Delete("DELETE FROM users WHERE id = #{id}")
    void deleteUser(int id);
}

實現用戶、角色與權限的 CRUD 功能

類似於 UserMapper，可以為 RoleMapper 和 PermissionMapper 創建相應的接口。

2. 基於註解的權限控制

使用 Spring Security 進行安全控制

在 WebSecurityConfigurerAdapter 類中配置安全設置：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasRole("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin();
    }
}

使用註解如 @PreAuthorize 進行方法級權限控制

@PreAuthorize("hasRole('ADMIN')")
public void adminMethod() {
    // 只有 ADMIN 角色的用戶可以訪問
}

3. 動態權限檢查

根據用戶角色動態調整權限

@PreAuthorize("hasAuthority('READ_PRIVILEGES')")
public void readData() {
    // 只有擁有 READ_PRIVILEGES 權限的用戶可以訪問
}

實現自定義權限檢查邏輯

可以擴展 AccessDecisionManager 和 AuthenticationProvider 來實現自定義的權限檢查。

五、測試與調試

1. 單元測試

使用 JUnit 和 Mockito 進行單元測試：

@RunWith(MockitoJUnitRunner.class)
public class UserServiceTest {

    @Mock
    private UserMapper userMapper;

    @InjectMocks
    private UserService userService;

    @Test
    public void testInsertUser() {
        User user = new User("testUser", "password");
        userService.insertUser(user);
        verify(userMapper).insertUser(user);
    }
}

實現權限控管的單元測試

確保每個權限控制的功能都有對應的測試用例。

2. 集成測試

使用 Spring Boot Test 進行集成測試：

@SpringBootTest
@AutoConfigureMockMvc
public class UserControllerTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    public void testGetUser() throws Exception {
        mockMvc.perform(get("/user/1"))
               .andExpect(status().isOk());
    }
}

測試整體權限控制流程

確保所有的安全配置和權限控制在實際場景中都能正常運行。

3. 錯誤與異常處理

設計統一的異常處理機制

使用 @ControllerAdvice 來捕獲全局異常：

@ControllerAdvice
public class GlobalExceptionHandler {

    @ExceptionHandler(UserNotFoundException.class)
    public ResponseEntity<String> handleUserNotFound(UserNotFoundException e) {
        return ResponseEntity.status(HttpStatus.NOT_FOUND).body(e.getMessage());
    }
}

提供友好的錯誤信息

確保返回的錯誤信息對用戶友好且易於理解。

六、實際案例與最佳實踐

1. 範例應用程式

這裡提供一個簡單的應用程式，展示如何整合所有功能：
- 用戶註冊、登入
- 基於角色的訪問控制
- 動態權限檢查

2. 最佳實踐建議

• 安全性考量：確保密碼加密，使用 BCryptPasswordEncoder 進行密碼加密。
• 性能優化建議：使用緩存來優化頻繁訪問的數據。

3. 常見問題解答

問題	解決方案
如何處理用戶會話過期？	使用 Spring Security 的會話管理功能。
如何設計權限模型？	使用角色和權限的多對多關係模型。
如何進行 SQL 語句的性能優化？	使用索引和查詢優化技巧。

總結

這篇文章介紹了如何在 Spring Boot 中使用 MyBatis 實現權限控管的完整流程，涵蓋了環境設置、權限模型設計、實現權限控制、測試與調試、實際案例與最佳實踐等方面。希望能夠幫助開發者在實際應用中更好地掌握權限控管的實現。

關於作者

Carger

我是Oscar (卡哥)，前Yahoo Lead Engineer、高智商同好組織Mensa會員，超過十年的工作經驗，服務過Yahoo關鍵字廣告業務部門、電子商務及搜尋部門，喜歡彈吉他玩音樂，也喜歡投資美股、虛擬貨幣，樂於與人分享交流！

最新文章

• 2024 年 12 月 30 日WebFlux 技術介紹初學者指南 WebFlux 基礎與實踐
• 2024 年 12 月 17 日Java JUC 深入探討深入探討Java JUC高併發編程技巧與最佳實踐
• 2024 年 12 月 16 日問題解決策略高效解決工作難題的邏輯思考與工具全面指南
• 2024 年 12 月 16 日價值交付系統新手指南打造高效價值交付系統