vue 中后台管理系统的权限管理实现逻辑记录

阅读量：4095 次

发布时间：2019-05-25

本文共 9044 字，大约阅读时间需要 30 分钟。

公司的后台系统中有这样一个功能，不同的用户可以访问不同的内容，也就是每个用户的权限不同，即角色的权限管理。感觉这个功能很有价值，所以自己调研了一下，把这个功能的实现方法记录下来，以备不时之需。

场景重现：

现有一个后台管理系统，共存在两种类型的人员

①超级管理员（称作admin），②普通用户（称作editor）

每种类型的人看到的操作栏并不一样，可以进行的操作也不尽相同，于是就需要程序处理一下各个权限问题。

具体实现思路

1 创建vue实例的时候将vue-router挂载，但这个时候vue-router挂载一些登录或者不用权限的公用的页面。

2 当用户登录后，获取用role，将role和路由表每个页面的需要的权限作比较，生成最终用户可访问的路由表。

3 调用router.addRoutes(store.getters.addRouters)添加用户可访问的路由。

4 使用vuex管理路由表，根据vuex中可访问的路由渲染侧边栏组件。

下面开始正式开始上手实现：

一、功能细分

所谓权限控制，我们常用的会分为两类：

接口访问的权限控制

页面的权限控制
- 菜单中的页面是否能被访问
- 页面中的按钮（增、删、改）的权限控制是否显示

二、接口访问的控制权限

接口权限就是对用户的校验，在用户登录时服务器都会返回一个 token，然后在前台每次调用接口时都带上这个 token。当服务端收到这个 token 时会进行对比，如果通过则可以进行访问。

我们通常的做法是在登录成功的回调中将后台返回的 token 直接存储到 sessiontorage，然后在请求时将 token 取出放入 headers 中传给后台，我们现在常用的方式是在 axios 的拦截器中直接将Token塞入config.headers.Authorization中，作为全局传入。代码如下：

//main.jsimport axios from 'axios'// 实例化Axios，并进行超时设置const service = axios.create({
       timeout: 5000})// baseURL// axios.defaults.baseURL = 'https://api.github.com';// http request 拦截器// 每次请求都为http头增加Authorization字段，其内容为tokenservice.interceptors.request.use(    config => {
           if (store.state.user.token) {
               config.headers.Authorization = `token ${
   store.state.user.token}`;        }        return config    },    err => {
           return Promise.reject(err)    });export default service

三、页面权限控制

在前面已经说到，页面权限控制又分为两种：

1、菜单中的页面是否能被访问
2、页面中的按钮（增、删、改）的权限控制是否显示

这些权限一般是在固定页面进行配置，保存后记录到数据库中。

3.1页面访问权限

页面访问权限在实现中又可以分为两种方式：

1、显示所有菜单，当用户访问不在自己权限内的菜单时，提示权限不足
2、只显示当前用户能访问的权限内菜单，如果用户通过URL进行强制访问，则会直接进入404

从用户体验的角度来讲，第二种方式更很合适一些。毕竟如果菜单显示出来用户又不能点击，会给用户带来挫败感，导致不好的体验。

下面我们一起来梳理一下页面访问权限的流程：

页面访问权限的实现步骤

1、创建路由表

因为有些页面不需要访问权限，所以可以将不需要权限的页面写到默认路由中，比如登录、404、维护等页面，而将其他的需要权限的页面写到一个变量或者一个文件中，这样可以有效减轻后续维护的压力。代码如下：

// router/index.jsimport Vue from 'vue'import Router from 'vue-router'import App from '@/App'import store from '../store/index'Vue.use(Router);//手动跳转的页面白名单const whiteList = [  '/'];//默认不需要权限的页面const constantRouterMap = [  {
       path: '/',    name: '登录',    component: (resolve) => require(['@/components/login'], resolve)  },  {
       path: '/index',    name: 'nav.Home',    component: (resolve) => require(['@/components/index'], resolve)  },  {
       path: '/templateMake',    name: '模板制作',    component: (resolve) => require(['@/components/Template/templateMake'], resolve)  },  {
       path: '/programMack',    name: '节目制作',    component: (resolve) => require(['@/components/Template/programMack'], resolve)  },  {
       path: '/release',    name: '节目发布',    component: (resolve) => require(['@/components/Program/release'], resolve)  }]//注册路由export const router = new Router({
     routes: constantRouterMap});//异步路由（需要权限的页面）export const asyncRouterMap = [  {
       path: '/resource',    name: 'nav.Resource',    meta: {
         permission: []    },    component: (resolve) => require(['@/components/Resource/resource'], resolve)  },  {
       path: '/template',    name: 'nav.Template',    meta: {
         permission: []    },    component: (resolve) => require(['@/components/Template/template'], resolve)  },  {
       path: '/generalSet',    name: 'nav.System',    meta: {
         permission: []    },    component: (resolve) => require(['@/components/SystemSet/generalSet'], resolve)  },  {
       path: '',    name: 'nav.Log',    component: App,    children: [      {
           path: '/userLog',        name: 'nav.UserLog',        meta: {
             permission: []        },        component: (resolve) => require(['@/components/Log/userLog'], resolve),      },      {
           path: '/operatingLog',        name: 'nav.SystemLog',        meta: {
             permission: []        },        component: (resolve) => require(['@/components/Log/operatingLog'], resolve),      },    ]  }  ]];

⚠️注意事项：这里有一个需要非常注意的地方就是 404 页面一定要最后加载，如果放在constantRouterMap一同声明了404，后面的所以页面都会被拦截到404。

2. 页面访问权限

页面访问权限流程核心部分梳理：

我们首先获取用户权限列表，在这里我们将接触到vuex状态管理，代码如下：

// store/index.jsimport Axios from 'axios'import Vue from 'vue'import Vuex from 'vuex'Vue.use(Vuex);const axios = Axios.create();const state = {
     mode: 'login',  list: []};const getters = {
   };const mutations = {
     setMode: (state, data) => {
       state.mode = data  },  setList: (state, data) => {
       state.list = data  }};const actions = {
     // 获取权限列表  getPermission({
   commit}) {
       return new Promise((resolve, reject) => {
         axios({
           url: '/privilege/queryPrivilege?id=' + sessionStorage.getItem('privId'),        methods: 'get',        headers: {
             token: sessionStorage.getItem('token'),          name: sessionStorage.getItem('name')        }      }).then((res) => {
           // 存储权限列表        commit('setList', res.data.cust.privileges[0].children);        resolve(res.data.cust.privileges[0].children)      }).catch(() => {
           reject()      })    })  }};export default new Vuex.Store({
     state,  mutations,  actions,  getters})

我们现在请求后台拿到了权限数据，并将数据存放到了vuex中，下面我们需要利用返回数据匹配之前写的异步路由表，将匹配结果和静态路由表结合，开成最终的实际路由表。

其中最关键的是利用vue-router2.2.0版本新添加的一个addRoutes方法，我们看看官方文档如何解释此方法的：

router.addRoutes(routes) 2.2.0+动态添加更多的路由规则。参数必须是一个符合 routes 选项要求的数组。

那我们现在就可以开始使用addRoutes进行路由匹配了。下面看代码：

// router/index.js/** * 根据权限匹配路由 * @param {array} permission 权限列表（菜单列表） * @param {array} asyncRouter 异步路由对象 */function routerMatch(permission, asyncRouter) {
     return new Promise((resolve) => {
       const routers = [];    // 创建路由    function createRouter(permission) {
            // 根据路径匹配到的router对象添加到routers中即可      permission.forEach((item) => {
           if (item.children && item.children.length) {
             createRouter(item.children)        }        let path = item.path;        // 循环异步路由，将符合权限列表的路由加入到routers中        asyncRouter.find((s) => {
             if (s.path === '') {
               s.children.find((y) => {
                 if (y.path === path) {
                   y.meta.permission = item.permission;                routers.push(s);              }            })          }          if (s.path === path) {
               s.meta.permission = item.permission;            routers.push(s);          }        })      })    }    createRouter(permission)    resolve([routers])  })}

然后我们编写导航钩子

// router/index.jsrouter.beforeEach((to, form, next) => {
     if (sessionStorage.getItem('token')) {
       if (to.path === '/') {
         router.replace('/index')    } else {
         console.log(store.state.list.length);      if (store.state.list.length === 0) {
             //如果没有权限列表，将重新向后台请求一次        store.dispatch('getPermission').then(res => {
               //调用权限匹配的方法          routerMatch(res, asyncRouterMap).then(res => {
                 //将匹配出来的权限列表进行addRoutes            router.addRoutes(res[0]);            next(to.path)          })        }).catch(() => {
             router.replace('/')        })      } else {
           if (to.matched.length) {
             next()        } else {
             router.replace('/')        }      }    }  } else {
       if (whiteList.indexOf(to.path) >= 0) {
         next()    } else {
         router.replace('/')    }  }});

3.2 页面中的按钮（增、删、改）的权限控制是否显示

四、数据操作权限

是否还记得前面的路由配置中我们多出来的一个代码，下面我们拿出来看看：

//异步路由（需要权限的页面）export const asyncRouterMap = [  {
       path: '/resource',    name: 'nav.Resource',    meta: {
         permission: []    },    component: (resolve) => require(['@/components/Resource/resource'], resolve)  },  {
       path: '/template',    name: 'nav.Template',    meta: {
         permission: []    },    component: (resolve) => require(['@/components/Template/template'], resolve)  },  {
       path: '/generalSet',    name: 'nav.System',    meta: {
         permission: []    },    component: (resolve) => require(['@/components/SystemSet/generalSet'], resolve)  },  {
       path: '',    name: 'nav.Log',    component: App,    children: [      {
           path: '/userLog',        name: 'nav.UserLog',        meta: {
             permission: []        },        component: (resolve) => require(['@/components/Log/userLog'], resolve),      },      {
           path: '/operatingLog',        name: 'nav.SystemLog',        meta: {
             permission: []        },        component: (resolve) => require(['@/components/Log/operatingLog'], resolve),      },    ]  }  ]];

为每个路由页面增加meta字段。在routerMatch函数中将匹配到的详细权限字段赋值到这里。这样在每个页面的route对象中就会得到这个字段。

asyncRouter.find((s) => {
      if (s.path === '') {
        s.children.find((y) => {
          if (y.path === path) {
              //赋值         y.meta.permission = item.permission;         routers.push(s);       }     })   }   if (s.path === path) {
        s.meta.permission = item.permission;     routers.push(s);   } })

接下来我们编写一个vue自定义指令对页面中需要进行鉴权的元素进行判断，比如类似这样的：

 /* 3代表一个上传权限的ID，权限中有3则显示按钮 */

我们直接注册一个全局指令，利用vnode来访问vue的方法。代码如下：

//main.js//按扭权限指令Vue.directive('allow', {
     inserted: (el, binding, vnode) => {
       let permissionList = vnode.context.$route.meta.permission;    if (!permissionList.includes(binding.value)) {
         el.parentNode.removeChild(el)    }  }})

至此为止，权限控制流程就已经完全结束了，在最后我们再看一下完整的权限控制流程图吧.