权限控制的安全问题

Question

有的操作只有管理员才能用。虽然前端屏蔽了访问入口，但是因为web是开放的，直接通过方法的url还是能够访问。难道在方法上还要加拦截器？

Answer 1

  权限存在session里。在方法头部判断下，如果没有权限就跳回首页

Answer 2

session肯定是要用到的，不过你这种方式高耦合不好。还不如拦截器。

Answer 3

Filter
struts2的AbstractInterceptor、MethodFilterInterceptor
spring的MethodInterceptor、MethodBeforeAdvice、AfterReturningAdvice
或者每个jsp、action都加权限判断