cykj/hzdyjs
1
0 Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity
Files
0ed820d7ce74dce68613ce78d5b29f605b16d91d
hzdyjs/test/报修管理数据权限修订完成报告.md
T
zlwu 2371080245 提交物业报修模块
2025-06-30 20:33:58 +08:00

11 KiB
Raw Blame History

报修管理数据权限修订完成报告

📅 完成时间: 2025-06-30 16:10:00
🎯 修订目标: 根据用户需求重新修订报修单的数据权限控制
✅ 执行状态: 已成功完成
🔐 权限体系: 四级数据权限控制体系

📋 权限需求分析

🎭 用户角色与数据权限需求

用户角色 权限需求 数据访问范围
超级管理员 管理所有数据 可以看见所有报修单
维修管理人员 管理业务数据 可以看见所有报修单
维修人员 处理分配工单 只可以看见自己创建的报修单及分配给自己的报修单
其他用户 查看自己数据 只可以看见自己创建的报修单

🔍 原有问题分析

修订前的问题:

  • ❌ 所有用户都能看到所有报修单，缺乏数据权限控制
  • ❌ 维修人员能查看不相关的工单数据
  • ❌ 普通用户能查看其他人的报修单
  • ❌ 数据安全性不足，存在信息泄露风险

修订后的改进:

  • ✅ 实现了基于角色的数据权限控制
  • ✅ 维修人员只能查看相关工单
  • ✅ 普通用户只能查看自己的报修单
  • ✅ 提升了数据安全性和隐私保护

🔧 技术实现详情

📂 修改的核心文件

后端 Service 层:

  • backend/ruoyi-admin/src/main/java/org/dromara/zhxy/service/impl/PmRepairOrderServiceImpl.java

🔐 数据权限控制逻辑

1. 查询列表权限过滤 (buildQueryWrapper)

/**
 * 添加数据权限过滤条件
 *
 * @param lqw 查询条件构造器
 */
private void addDataPermissionFilter(LambdaQueryWrapper<PmRepairOrder> lqw) {
    // 获取当前登录用户信息
    var loginUser = LoginHelper.getLoginUser();
    Long currentUserId = loginUser.getUserId();
    var rolePermissions = loginUser.getRolePermission();

    // 超级管理员：无需过滤，可查看所有数据
    if (LoginHelper.isSuperAdmin(currentUserId) ||
        rolePermissions.contains("superadmin")) {
        return;
    }

    // 物业维修管理员：可查看所有报修单
    if (rolePermissions.contains("property_maintenance_admin")) {
        return;
    }

    // 维修人员：只能查看自己创建的或分配给自己的报修单
    if (rolePermissions.contains("maintenance_worker")) {
        lqw.and(wrapper -> wrapper
            .eq(PmRepairOrder::getReporterId, currentUserId)     // 自己创建的
            .or()
            .eq(PmRepairOrder::getAssigneeId, currentUserId)     // 分配给自己的
        );
        return;
    }

    // 其他用户：只能查看自己创建的报修单
    lqw.eq(PmRepairOrder::getReporterId, currentUserId);
}

2. 单条数据权限验证 (hasDataPermission)

/**
 * 验证用户是否有查看指定工单的权限
 *
 * @param orderVo 工单数据
 * @return 是否有权限
 */
private boolean hasDataPermission(PmRepairOrderVo orderVo) {
    var loginUser = LoginHelper.getLoginUser();
    Long currentUserId = loginUser.getUserId();
    var rolePermissions = loginUser.getRolePermission();

    // 超级管理员：拥有所有权限
    if (LoginHelper.isSuperAdmin(currentUserId) ||
        rolePermissions.contains("superadmin")) {
        return true;
    }

    // 物业维修管理员：可以查看所有工单
    if (rolePermissions.contains("property_maintenance_admin")) {
        return true;
    }

    // 维修人员：只能查看自己创建的或分配给自己的工单
    if (rolePermissions.contains("maintenance_worker")) {
        return currentUserId.equals(orderVo.getReporterId()) ||
               currentUserId.equals(orderVo.getAssigneeId());
    }

    // 其他用户：只能查看自己创建的工单
    return currentUserId.equals(orderVo.getReporterId());
}

🛡️ 权限控制覆盖的方法

方法名称 权限控制类型 说明
queryPageList 列表过滤 分页查询时自动过滤数据
queryList 列表过滤 普通列表查询时自动过滤数据
queryById 单条验证 查询单条数据时验证权限
assignOrder 单条验证 分派工单时验证权限
startRepair 单条验证 开始维修时验证权限
finishRepair 单条验证 完成维修时验证权限
cancelOrder 单条验证 取消工单时验证权限

🧪 数据权限测试

📝 测试脚本

文件: test/repair-order-data-permission-test.js

测试覆盖:

  • ✅ 4 种不同角色的用户登录测试
  • ✅ 工单列表数据权限验证
  • ✅ 工单详情查看权限验证
  • ✅ 权限边界测试
  • ✅ 异常情况处理测试

👥 测试用户配置

测试角色 用户账号 用户姓名 预期权限
超级管理员 admin 疯狂的狮子 Li 查看所有工单
物业维修管理员 zwc003 总务处科长舒刚 查看所有工单
维修人员 zwc005 总务处干事陆雄 查看相关工单
普通用户 zkxy001 智控学院张三 查看自己工单

🎯 测试验证要点

1. 数据过滤验证

  • 超级管理员: 应该能查看所有工单（≥12 个）
  • 物业维修管理员: 应该能查看所有工单（≥12 个）
  • 维修人员: 应该只能查看相关工单（<12 个）
  • 普通用户: 应该只能查看自己的工单（≤2 个）

2. 权限边界测试

  • 列表查询: 不同角色看到的工单数量应该符合权限要求
  • 详情查询: 无权限的工单详情查询应该被拒绝
  • 业务操作: 无权限的工单操作应该被拒绝

3. 安全性测试

  • 未登录用户: 不能查看任何数据
  • 角色切换: 切换角色后权限应该正确变更
  • 异常处理: 权限验证异常时应该安全降级

📊 权限效果对比

🔄 修订前后对比

场景 修订前 修订后
超级管理员 查看所有工单 ✅ 查看所有工单
物业维修管理员 查看所有工单 ✅ 查看所有工单
维修人员 ❌ 查看所有工单 ✅ 只查看相关工单
普通用户 ❌ 查看所有工单 ✅ 只查看自己工单
数据安全 ❌ 存在泄露风险 ✅ 权限控制严格

📈 安全性提升

隐私保护:

  • ✅ 用户只能查看与自己相关的工单
  • ✅ 敏感信息不会泄露给无关用户
  • ✅ 维修人员工作范围明确界定

权限精确度:

  • ✅ 角色权限划分清晰
  • ✅ 数据访问控制精确
  • ✅ 业务操作权限合理

🔍 业务流程优化

🔄 完整业务流程权限控制

1. 工单查看阶段

  • 报修人: 可以查看自己提交的所有工单
  • 维修人员: 可以查看分配给自己的工单和自己创建的工单
  • 管理员: 可以查看和管理所有工单

2. 工单处理阶段

  • 分派权限: 只有管理员可以分派工单
  • 维修权限: 维修人员只能处理分配给自己的工单
  • 取消权限: 需要有查看权限才能取消工单

3. 数据统计阶段

  • 个人统计: 用户只能看到自己相关的统计数据
  • 部门统计: 管理员可以看到完整的统计数据
  • 权限隔离: 不同角色看到不同维度的统计

🚨 安全特性

🛡️ 多层安全防护

  1. 登录验证: 基于 Token 的身份认证
  2. 角色验证: 基于角色权限的功能控制
  3. 数据过滤: 基于用户关系的数据过滤
  4. 操作验证: 基于权限的操作验证
  5. 异常处理: 权限异常时的安全降级

🔐 权限验证机制

权限验证流程:

用户请求 → 身份认证 → 角色识别 → 数据权限过滤 → 返回结果

安全边界:

  • 物理边界: 不同用户看到不同数据
  • 逻辑边界: 不同角色有不同操作权限
  • 时间边界: Token 过期自动失效
  • 异常边界: 异常情况下安全降级

📝 运行和测试指南

🚀 测试脚本运行

环境要求:

# 安装依赖
npm install axios crypto-js node-rsa colors

运行测试:

# 进入测试目录
cd test

# 运行数据权限测试
node repair-order-data-permission-test.js

预期输出:

  • ✅ 4 个用户的登录测试结果
  • ✅ 每个用户的工单查看权限验证
  • ✅ 权限验证结果汇总
  • ✅ 测试结果 JSON 文件生成

🔍 手动验证步骤

  1. 登录不同角色用户
  2. 访问报修管理页面
  3. 查看工单列表数量
  4. 尝试查看工单详情
  5. 验证权限控制效果

📋 相关文件清单

🔧 修改的文件

  • backend/ruoyi-admin/src/main/java/org/dromara/zhxy/service/impl/PmRepairOrderServiceImpl.java

📝 新增的文件

  • test/repair-order-data-permission-test.js - 数据权限测试脚本
  • test/报修管理数据权限修订完成报告.md - 本报告文件

📚 更新的文档

  • test/报修管理权限梳理报告.md - 权限梳理报告（需要更新）
  • docs/变更管理/code-adjust-record-2025-06-30-wuzilong.md - 变更记录

✅ 总结

🎯 修订成果

  1. 权限控制精确: 实现了基于角色的精确数据权限控制
  2. 安全性提升: 显著提升了数据安全性和用户隐私保护
  3. 业务匹配: 权限控制完全符合实际业务需求
  4. 可维护性: 权限逻辑清晰，便于后续维护和扩展

🚀 业务价值

  • 隐私保护: 用户只能查看与自己相关的数据
  • 职责明确: 不同角色的数据访问权限清晰界定
  • 安全合规: 符合数据安全和隐私保护要求
  • 用户体验: 减少无关信息干扰，提升用户体验

📈 后续建议

  1. 定期测试: 建议定期执行数据权限测试，确保权限控制正常
  2. 权限审计: 定期审查用户角色分配，确保权限分配合理
  3. 功能扩展: 可考虑增加更细粒度的权限控制
  4. 性能优化: 可根据实际使用情况优化查询性能

🎉 状态: 数据权限修订任务已圆满完成，系统安全性显著提升！
📞 支持: 如有权限相关问题，请联系系统管理员

Reference in new issue View Git Blame Copy Permalink