hsweb-framework数据权限：行级权限与列级权限控制实现

2026-02-05 04:15:16作者：邵娇湘

在企业级应用开发中，数据权限控制是保障数据安全的核心环节。hsweb-framework作为基于Spring Boot 2.x的全响应式企业级后台管理系统基础项目，提供了灵活的数据权限解决方案，支持行级权限（控制哪些数据可见）和列级权限（控制哪些字段可见）的精细化管理。本文将从实际应用场景出发，详解hsweb-framework数据权限的实现机制与配置方法。

数据权限控制体系

hsweb-framework的数据权限控制基于RBAC（基于角色的访问控制）模型扩展，通过DataAccessConfigConvert接口和DataAccessHandler接口实现自定义权限规则。核心模块位于hsweb-authorization/，其中权限处理流程定义在hsweb-authorization-basic/，API规范详见hsweb-authorization-api/。

权限控制流程包括三个关键步骤：

权限配置转换：将前端配置的权限规则转换为系统可执行的配置对象
权限规则匹配：判断当前请求是否匹配预设的权限规则
权限拦截处理：根据匹配结果拦截或放行请求

行级权限实现

行级权限控制用户可访问的数据范围，例如"部门经理只能查看本部门数据"。实现需两步：

1. 自定义配置转换器

实现DataAccessConfigConvert接口，将前端配置的JSON转换为权限配置对象：

@Component
public class MyDataAccessConfigConvert implements DataAccessConfigConvert {
    @Override
    public boolean isSupport(String type, String action, String config) {
        return "department_data".equals(type); // 匹配部门数据权限类型
    }

    @Override
    public DataAccessConfig convert(String type, String action, String config) {
        DepartmentDataConfig config = JSON.parseObject(config, DepartmentDataConfig.class);
        config.setAction(action);
        config.setType(type);
        return config;
    }
}

配置定义参考custom-data-access.md。

2. 实现权限处理器

通过DataAccessHandler接口处理具体权限逻辑：

@Component
public class DepartmentDataAccessHandler implements DataAccessHandler {
    @Override
    public boolean isSupport(DataAccessConfig access) {
        return "department_data".equals(access.getType());
    }

    @Override
    public boolean handle(DataAccessConfig access, MethodInterceptorParamContext context) {
        DepartmentDataConfig config = (DepartmentDataConfig) access;
        Map<String, Object> params = context.getNamedArguments();
        
        // 获取当前用户部门ID
        String userDeptId = SecurityUtils.getCurrentUser().getDepartmentId();
        // 对比数据所属部门ID与用户部门ID
        return userDeptId.equals(params.get("deptId"));
    }
}

列级权限实现

列级权限控制数据字段的可见性，例如"普通用户隐藏手机号字段"。实现需结合数据脱敏和字段过滤：

1. 字段权限注解

使用@ColumnPermission注解标记需要控制的字段：

public class User {
    private String id;
    private String name;
    
    @ColumnPermission(roles = {"ADMIN"}) // 仅管理员可见
    private String phone;
    
    // getters and setters
}

2. 响应数据过滤

通过AOP拦截Controller方法，过滤无权限字段：

@Component
@Aspect
public class ColumnPermissionAspect {
    @Around("execution(* org.hswebframework.web.controller..*(..))")
    public Object filterColumns(ProceedingJoinPoint point) throws Throwable {
        Object result = point.proceed();
        // 根据当前用户角色过滤响应数据中的敏感字段
        return ColumnPermissionUtils.filter(result, SecurityUtils.getCurrentUser().getRoles());
    }
}