如何在jOOQ中实现行级安全？能否自动为所有查询添加过滤条件？

针对你想自动给几乎所有JooQ查询添加组织ID和未删除过滤条件的需求，以下是两种靠谱的更新方案，替代手动调用生成方法的繁琐方式：

方案一：利用VisitListener实现全自动化过滤 #

这是最彻底的方案，通过JooQ的AST拦截机制，自动为所有SELECT/UPDATE/DELETE语句注入过滤条件，无需开发者手动干预。

1. 实现自定义VisitListener #

这个监听器会在构建查询AST时，自动为符合条件的表添加过滤逻辑：

import org.jooq.*;
import org.jooq.impl.DefaultVisitListener;

public class RlsVisitListener extends DefaultVisitListener {
    private final Long currentOrgId;

    public RlsVisitListener(Long currentOrgId) {
        this.currentOrgId = currentOrgId;
    }

    @Override
    public void visitStart(VisitContext ctx) {
        if (ctx.queryPart() instanceof Table<?> table) {
            // 检查表是否包含需要过滤的字段（可通过生成的表接口更严谨判断）
            Field<Boolean> deletedField = table.field("DELETED", Boolean.class);
            Field<Long> orgIdField = table.field("ORGANIZATION_ID", Long.class);
            
            if (deletedField != null && orgIdField != null) {
                Condition filter = deletedField.eq(false).and(orgIdField.eq(currentOrgId));
                // 将过滤条件注入到表的查询逻辑中
                ctx.queryPart(table.where(filter));
            }
        }
        super.visitStart(ctx);
    }
}

2. 配置DSLContext注入监听器 #

将监听器注册到JooQ的配置中，所有通过该DSLContext执行的查询都会自动应用过滤：

import org.jooq.impl.DefaultConfiguration;
import org.jooq.impl.DefaultDSLContext;
import org.jooq.impl.VisitListenerProvider;

public class JooqContextFactory {
    public DSLContext getDslContext(Long currentOrgId) {
        DefaultConfiguration config = new DefaultConfiguration();
        // 配置数据库方言、连接池等基础信息
        config.set(SQLDialect.POSTGRES); // 根据你的数据库调整
        config.set(new DataSourceConnectionProvider(yourDataSource));
        
        // 注册行级安全监听器
        config.set(VisitListenerProvider.wrap(new RlsVisitListener(currentOrgId)));
        
        return new DefaultDSLContext(config);
    }
}

3. 跳过特定查询（可选） #

如果个别查询不需要过滤，可以通过自定义元数据标记跳过：

// 执行不需要过滤的查询时添加标记
DSL.using(dslContext.configuration())
   .selectFrom(ADMIN_TABLE)
   .meta("SKIP_RLS")
   .fetch();

// 在监听器中添加判断逻辑
@Override
public void visitStart(VisitContext ctx) {
    if (ctx.query() != null && ctx.query().meta().containsKey("SKIP_RLS")) {
        super.visitStart(ctx);
        return;
    }
    // 原过滤逻辑
}

方案二：扩展生成表类实现半自动化过滤 #

如果不想用AST拦截，可以通过JooQ代码生成器扩展表类，让开发者通过统一工具类调用查询：

1. 修改代码生成器配置 #

在jooq-codegen.xml中指定所有生成的表实现自定义接口：

<generator>
    <strategy>
        <matchers>
            <tables>
                <table>
                    <implements>com.yourteam.jooq.RlsEnabledTable</implements>
                </table>
            </tables>
        </matchers>
    </strategy>
</generator>

2. 定义RlsEnabledTable接口 #

public interface RlsEnabledTable<R extends Record> extends Table<R> {
    default Condition getRlsFilter(Long orgId) {
        return field("DELETED", Boolean.class).eq(false)
            .and(field("ORGANIZATION_ID", Long.class).eq(orgId));
    }
}

3. 封装查询工具类 #

public class JooqQueryHelper {
    public static <R extends Record, T extends Table<R> & RlsEnabledTable<R>> ResultQuery<R> selectFrom(T table, Long orgId) {
        return DSL.using(yourConfig).selectFrom(table).where(table.getRlsFilter(orgId));
    }
}

开发者只需调用JooqQueryHelper.selectFrom()即可自动应用过滤，比手动调用更省心，但仍需依赖工具类。

关键注意事项 #

• 组织ID传递：建议通过ThreadLocal存储当前请求的用户组织ID，避免在监听器中硬编码，确保多线程安全。
• 关联查询处理：方案一的监听器会自动处理关联表，只要关联表包含过滤字段，就会自动添加条件。
• 性能影响：自动注入的条件和手动添加的SQL逻辑完全一致，不会带来额外性能开销。

内容的提问来源于stack exchange，提问作者Disheart