【SSH2权限系统的实现机制】

权限控制分为页面和后台两块：不同类型用户的帐号分配的访问权限是不同的，用户使用帐号登录系统以后，在页面中只能看到拥有权限的页面，并且如果用户通过浏览器直接输入链接地址，后台会判断该用户是否拥有该权限，如果没有则拒绝用户的请求。比如有个人信息管理和交易管理两个模块，管理员给用户A创建了一个帐号，并且给该帐号分配了可访问“个人信息管理”模块的权限，那么用户A登录系统后就只能看到“个人信息管理”的页面，“交易管理”页面是看不到的。那么用户可能知道访问“个人信息管理”的路径，可以在浏览器中输入请求地址，这时后台spring aop截获请求，然后判断该用户是否拥有该模块的访问权限，如果没有则抛出“没有权限”的错误消息，再通过拦截器控制直接返回到页面。

1、页面实现权限控制的方式比较简单：登录成功后将该用户拥有的所有权限放入session中，用户访问JSP页面时，从session中取得权限，然后在onload事件中遍历页面标签与session中的权限比对，判断标签是否有效，如果无效就不显示或者设为disable，如果有效则显示给用户。

2、后台实现权限控制使用了拦截器和AOP等机制：AOP过滤访问权限，无权限则抛出异常；拦截器捕获异常，最后返回相应错误消息到页面。

Spring AOP在用户访问Action某方法之前验证该用户是否拥有访问该方法的权限，如果可访问则放行，否则抛出无权限的自定义异常，随后Struts2拦截器会捕获异常，并且把“无访问权限”的错误消息发送的页面。

转自：http://blessht.iteye.com/blog/1130679