权限问题，如果用户在IE直接输入无权限的page的URL，filter该怎么校验？

[ldz112]

权限问题，如果用户在IE直接输入无权限的page的URL，filter该怎么校验？

[epyre]

可以把权限分为两大类，菜单权限和操作权限。操作权限再细分为浏览、添加、修改和删除，用户进入系统后首先判断有没有菜单权限，然后判断有没有操作权限。进入页面中，再根据用户的操作权限，显示/隐藏相应的链接。
可参考用户+组+角色+权限模式。

[FAT0708]

public void doFilter(ServletRequest sreq, ServletResponse sresp,
            FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) sreq;
        HttpServletResponse resp = (HttpServletResponse) sresp;
        if (((req.getQueryString() != null && !"".equals(req.getServletPath()))
                || req.getServletPath().indexOf(".jsp") != -1) && 
                (req.getServletPath().indexOf("/index.jsp") == -1)) {
            String isLogin = CharSet.nullToEmpty((String) req.getSession()
                    .getAttribute("ifLogin"));
            if (isLogin.equals("true")) {
                chain.doFilter(req, resp);
            } else {
            	sresp.setContentType("text/html; charset=GBK");
                String url = req.getContextPath() + "/show/index.jsp" ;//直接返回前台首页
                String msg = CreateJS.showMessage("无权访问", "错误信息",
                        "错误原因可能是您很长时间没有访问网站或者是你没有登录, 请点击登录重新登录<br><a href='"
                                + url + "' target = '_top'>重新登录</a>", req);
                resp.getWriter().println(msg);
            }
        } else {
            chain.doFilter(req, resp);
        }

    }

[ldz112]

忘了说，已经登录了，但是直接访问无权限的页面

[liu_zhaoqf]

你正常登录成功后应该会在session中放入一些属性来记录登录信息吧，你就是去检验这些信息就好了。
1楼的代码就是去检验这些信息的。

String isLogin = CharSet.nullToEmpty((String) req.getSession().getAttribute("ifLogin"));
if (isLogin.equals("true")) {
...
} else {
...
}

[ldz112]

放了，关键是页面中的链接地址如果也控制到，我们现在只控制到页面,页面内的子链接没控制，如果需要控制也要加上权限去判断,这样没个子链接就要手动的加个唯一的标识，然后filter再去校验有没权限，有没什么更好的思路，大家提供下

[cnidb]

目前认为合理的应该是按 模块=>功能 方式做权限表

比如：

模块名称:用户管理; code: usermanage
功能名称:添加; code: usermanage_add
功能名称:删除; code: usermanage_del

各个模块，java代码中就对应一个基类。检测一下当前用户是否可以进入这个模块；
功能点的操作，传一个功能的code检测一下。