大家的权限都是怎么实现的，有什么好的方案没有？ 欢迎交流

• sdnasky写到：
• 界面级：自定义标签可以实现

我现在也是使用自定义标签来实现的界面元素控制：

<eagle:hasPermission name="saveOrder"> 
    <input type="image" src="${rootUriOfCurrentPage}/resources/image/button/save-order.png" name="submit_top_button" id="submit_top_button" value="保存订单" />
</eagle:hasPermission>

问题：现在标签中定义拥有“saveOrder”权限的人，可以看见保存订单的按钮，但是项目交给客户以后，客户想让拥有“kissGirl”权限的人，也能看见保存订单按钮，那么你是不是要去修改页面？

这样每次权限定义发生变动，都要去修改页面自定义标签，跟硬编码写死权限判断有什么分别？

• sdnasky写到：
• 数据级：良好设计+AOP可以实现

问题：怎么实现？这个是关键！
举个简单的例子：
一个列表页，要求：普通员工看见自己发表的信息（标题、发布时间）；
部门经理看见本部门的信息（标题、发布时间 + 发布人积分）；
管理员看见所有的信息（标题、发布时间、发布人积分 + 删除/修改)按钮。

这个列表页是使用web service从美国加利福尼亚州总部读取的，问，如何实现数据权限控制？

这样的需求，不是一个小小的AOP拦截就能够搞定的，即使能搞定，其复杂度也是超乎想象的。

有一个比较笨的方法，就是在服务端做权限逻辑判断，组装出当前权限应该看到的数据量和数据列，然后使用json
格式传递到视图层进行渲染，这样就相当于把视图端自定义标签所做的判断，移动到了服务端。
服务端使用策略模式，针对不同的权限，执行不同的查询逻辑；
如果有新的查询逻辑出来，就更麻烦了，理论上可以使用“页面上可视化配置 = > 动态生成java类 => 动态加载新的查询逻辑类 => 动态执行新的查询逻辑类”这样的方式来把新逻辑插入当前的判断中，但是这仅仅是理论上的设计，实际做起来，可不是上面这样三言两语能够“说”完的。

要做到数据权限的精确控制，除了和系统紧密耦合的做法和硬编码判断的做法，我还没有发现更好的实现，请楼下大牛们赶紧赐教。
----------------------------------------------------

george_space, 关键是你们的权限标签保存的不是权限点，而是角色，因此没辙
权限标签就是标识出，这块范围的权限标识就可以了，权限点跟角色的关系交给数据库动态处理就行了
至于有无权限的判定处理，默认处理，表达式，脚本，处理类，各种工具提供选择