

## 一、项目中绕不开的话题，“数据权限隔离”

在做管理系统时，一定绕不开“数据权限隔离”这个场景

-   租户A只能看到A产生的数据
-   订单数据，后台管理系统能看自己组织下的所有订单，但是到了C端，每个人只能看到自己的订单

## 二、常规做法

-   自己sql中去拼筛选条件

    > 先把如果获取当前登录人的组织，租户等封装成一个工具类
    >
    > 在每个需要的地方执行的sql中硬拼接上 where org_id = xxx 之类的条件
    >
    > 难顶

-   封装一个注解，每个需要的接口标注一下

    > 参考比较知名某应用框架，封装一个注解，在每个接口或mapper处打一个标记
    >
    > 切面逻辑可以借助SPEL表达式，从中获取到入参的一些字段值用于 where后面拼接的值
    >
    > 切面逻辑中也可以借助ThreadLocal，从当前登录人中获取到某些值，拼接到执行的where条件后

第二个比第一个方法要稍好一点，但是每个接口打一个注解，和每个sql执行前调用一个工具类，细想一下，好像差别不是很大
创建业务表的人知道这个业务的隔离规则，但是使用这张表的人不一定知道，容易漏标注，导致权限问题

## 三、了解一下 【sangsang】

🚀 **【sangsang】**

> 一款专为 Java 开发者打造的透明数据中间层框架。
>
>基于Mybatis拦截器。它的核心原则只有一条：**让业务代码完全感知不到它的存在。**

🚀理念

数据隔离应该是一个很单纯的场景，同一种数据（对应数据库的一张表）在全局的数据隔离规则都是一样的

> 比如说订单
>
> -   在管理端，根据同组织的人能互相看，上级可以看下级全部的订单
>
> -   在C端，每个用户只能看自己的订单

**这个规则应该是适用于全局的，而不是需要在每个接口都要去实现一套这个逻辑**

从这个角度出发，我们其实也不需要每个接口，每个sql进行标注了，仅需**全局配置一次即可**。

🚀原理

>创建业务表的人，配置好这张表是根据什么字段，怎么数据隔离的，配置好策略后
>
>它在 SQL 发送到数据库之前，通过解析 AST（抽象语法树），自动在 `WHERE` 子句中织入隔离条件
>
>后续使用这张表的开发人员不用关心“数据隔离”这个概念

![image.png](https://developer.qcloudimg.com/http-save/yehe-6644051/5c6557f063a60661cad85b1f281254f1.png)

## 四、快速体验一下

🚀 引入pom （这里暂时使用3.7.0-alpha版本）

```
 <dependency>  
    <groupId>io.gitee.tired-of-the-water</groupId>  
    <artifactId>sangsang-core</artifactId>  
    <version>3.7.0-alpha</version> 
</dependency>
```

🚀增加配置

> 配置的实体类路径，框架会去扫描指定的路径，去获取自己想要的配置信息

```
#配置@TableName标注的实体类路径
sangsang.scanEntityPackage[0]=com.sangsang.*.entity
#开启数据隔离
sangsang.isolation.enable=true
```

🚀 自定义隔离策略

> 这里举个简单的栗子，tb_test表根据当前登录人的org_id进行数据隔离

```
package xxx.strategy;
​
import com.sangsang.domain.enums.IsolationRelationEnum;
import com.sangsang.domain.strategy.isolation.DataIsolationStrategy;
import org.springframework.stereotype.Component;
​
/**
 * @author 看腻了那片水
 * @date 2025/7/4 17:12
 */
@Component
public class TIsolationBeanStrategy implements DataIsolationStrategy<Long> {
    //返回需要进行数据隔离的表字段名字 
    //这里入参的tableName可以获取到当前是哪张表，一般是表名
    //一般项目会将登录用户存threadlocal中，这里可以取出来，根据不同的登录用户选择不同的字段隔离
    @Override
    public String getIsolationField(String tableName) {
        return "org_id";
    }
​
    //目前支持 "="  "in"  "like 'xxx%'" 三种模式
    @Override
    public IsolationRelationEnum getIsolationRelation(String tableName) {
        return IsolationRelationEnum.EQUALS;
    }
​
    //从当前登录用户的theadlocal中获取到用于数据隔离的字段即可，比如当前登录用户组织id之类的
    @Override
    public Long getIsolationData(String tableName) {
    //根据自己业务从ThreadLocal中获取
        return 777777777L;
    }
}
```

🚀 标注

```
/**
 * @author 看腻了那片水
 * @date 2025/7/2 14:45
 */
//使用@TableName注解表示这个是一个实体类
@TableName("tb_test")
@Data
//指定tb_test这张表隔离策略用TIsolationBeanStrategy
@DataIsolation(TIsolationBeanStrategy.class)
public class TestEntity extends BaseEntity {
​
    //注意：隔离策略中出现的字段必须要求出现在这个实体类中
    @TableField("org_id")
    private Long orgId;
​
}
```

🚀验证

至此，关于tb_test的数据隔离你已经全局做好了，关于tb_test的所有select都会自动拼接上筛选条件

## 五、复杂场景

### 订单的场景

> -   管理端，可以看同组织的订单，上级组织可以看下级组织所有的
> -   C端，只能看自己的单据
>
> 我们对tb_oder表的权限表结构设计如下
>
> -   user_id 订单所属的C端用户id
>
> -   org_seq 订单所属的组织权限路径（通过下面的结构可以达到查询下级所有组织的场景）
>
>     -   一级组织的权限路径是aaa
>     -   一级组织下所属的二级组织路径就是aaa-bbb
>     -   二级组织下属的三级组织路径就是aaa-bbb-ccc

```
package xxx.strategy;
​
import com.sangsang.domain.enums.IsolationRelationEnum;
import com.sangsang.domain.strategy.isolation.DataIsolationStrategy;
import org.springframework.stereotype.Component;
​
/**
 * @author 看腻了那片水
 * @date 2025/7/4 17:12
 */
@Component
public class TIsolationBeanStrategy implements DataIsolationStrategy<Long> {
   
    @Override
    public String getIsolationField(String tableName) {
        //从ThreadLocal中判断当前登录数据管理端还是C端
        //管理端就返回 org_seq   C 端就返回 user_id
        return xxx;
    }
​
    //目前支持 "="  "in"  "like 'xxx%'" 三种模式
    @Override
    public IsolationRelationEnum getIsolationRelation(String tableName) {
        //管理端就返回 Like   C端就返回 equals
        return IsolationRelationEnum.EQUALS;
    }
​
    //从当前登录用户的theadlocal中获取到用于数据隔离的字段即可，比如当前登录用户组织id之类的
    @Override
    public Long getIsolationData(String tableName) {
        ////管理端就返回当前登录人的org_seq   C端就返回 当前登录人的user_id
        return 777777777L;
    }
}
```

### 某些极端场景

> 某些对权限管理特别严的项目，会要求表根据什么字段隔离支持可配置
>
> 这不巧了吗，策略里面动态取值就行了

### 更多进阶应用

> 更多进阶使用方法详见gitee
## 六、 写在最后

**【sangsang】** 的目标不是做一个大而全的中间件，而是精准解决开发者在数据治理中的每一个“痛点”。 目前项目已在gitee开源，欢迎各位大佬来点个 **Star** 鼓励！如果你在使用中遇到任何等保或合规的刁钻需求，欢迎在评论区或 gitee 群交流，我们一起把它做得更好。

-   **🔥 Gitee 传送门**：[点击进入项目主页](https://gitee.com/tired-of-the-water/sangsang)

订单数据，后台管理系统能看自己组织下的所有订单，但是到了C端，每个人只能看到自己的订单

告别满项目打注解，mybatis数据权限隔离其实很简单

mybatis项目数据权限隔离设计新思路，让业务开发人员忽略业务表数据权限隔离，畅写CRUD

数据库

后端

本文介绍Java数据隔离框架【sangsang】，帮助开发者轻松实现多租户、C端用户管理系统的数据权限隔离。框架基于Mybatis拦截器，自动在SQL执行前根据配置的隔离策略拼接条件，无需在每个接口手动处理权限逻辑。支持管理端按组织层级、C端按用户ID等复杂隔离规则，减少代码冗余，提升开发效率。开源项目已在Gitee发布，适用于订单管理等需精细化权限控制的业务场景。

数据治理

数据管理

中间件

Java

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

本文介绍Java数据隔离框架【sangsang】，帮助开发者轻松实现多租户、C端用户管理系统的数据权限隔离。框架基于Mybatis拦截器，自动在SQL执行前根据配置的隔离策略拼接条件，无需在每个接口手动处理权限逻辑。支持管理端按组织层级、C端按用户ID等复杂隔离规则，减少代码冗余，提升开发效率。开源项目已在Gitee发...

告别满项目打注解，mybatis数据权限隔离其实很简单-腾讯云开发者社区-腾讯云

告别满项目打注解，mybatis数据权限隔离其实很简单

告别满项目打注解，mybatis数据权限隔离其实很简单

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐