手把手教你玩转Shiro（1）

       我们知道，shiro就是一款优秀的权限管理框架，那么到底什么是权限？什么是对权限管理？对权限管理到底又有哪些部分呢？Shiro这个框架到底能够提供我们怎么的权限管理呢？Shiro是不是能对我们实际开发提高安全和效率呢？我们带着这些疑问来慢慢学习Shiro，我觉得这样学习的效率会更加高。

一：权限的前导知识

描述：下面的内容主要是为了后面学习shiro了解一些基本知识，并且这些内容都是出现在shiro里面的，所以请认真看一看，并且对实际开发过程是很有帮助的。

（1）权限管理知识

知识点一：什么是权限管理

       基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。
权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。

知识点二：用户身份认证

        身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。对于采用指纹等系统，则出示指纹；对于硬件Key等刷卡系统，则需要刷卡。

主要的流程是：

这里面包含的关键对象有：

上边的流程图中需要理解以下关键对象：
（1）Subject：主体
访问系统的用户，主体可以是用户、程序等，进行认证的都称为主体；
（2）Principal：身份信息
是主体（subject）进行身份认证的标识，标识必须具有唯一性，如用户名、手机号、邮箱地址等，一个主体可以有多个身份，但是必须有一个主身份（Primary Principal）。
（3）credential：凭证信息
是只有主体自己知道的安全信息，如密码、证书等。

知识点3：用户授权

      授权，即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源，对于某些资源没有权限是无法访问的。

主要的流程如下：

这里面包含的关键对象有：

授权可简单理解为who对what(which)进行How操作：
（1）Who，即主体（Subject），主体需要访问系统中的资源。
（2）What，即资源（Resource），如系统菜单、页面、按钮、类方法、系统商品信息等。资源包括资源类型和资源实例，比如商品信息为资源类型，类型为t01的商品为资源实例，编号为001的商品信息也属于资源实例。
（3）How，权限/许可（Permission），规定了主体对资源的操作许可，权限离开资源没有意义，如用户查询权限、用户添加权限、某个类方法的调用权限、编号为001用户的修改权限等，通过权限可知主体对哪些资源都有哪些操作许可。
权限分为粗颗粒和细颗粒，粗颗粒权限是指对资源类型的权限，细颗粒权限是对资源实例的权限。

知识点四：权限模型

针对上面的主体，资源，权限，我们可以得到如下的权限模型

主体（账号、密码）
资源（资源名称、访问地址）
权限（权限名称、资源id）
角色（角色名称）
角色和权限关系（角色id、权限id）
主体和角色关系（主体id、角色id）

用如下的图表示：

通常企业开发中将资源和权限表合并为一张权限表，如下：
资源（资源名称、访问地址）
权限（权限名称、资源id）
合并为：
权限（权限名称、资源名称、资源访问地址）

知识点五：基于角色的访问控制和基于权限的访问控制

RBAC基于角色的访问控制（Role-Based Access Control）是以角色为中心进行访问控制，比如：主体的角色为总经理可以查询企业运营报表，查询员工工资信息等，访问控制流程如下：

 

缺点：以角色进行访问控制粒度较粗，如果上图中查询工资所需要的角色变化为总经理和部门经理，此时就需要修改判断逻辑为“判断主体的角色是否是总经理或部门经理”，系统可扩展性差。
修改代码如下：
if(主体.hasRole("总经理角色id") ||  主体.hasRole("部门经理角色id")){
查询工资
}
那么上面的这种方案不是特别好，那如何进行解决呢？

 

RBAC基于资源的访问控制（Resource-Based Access Control）是以资源为中心进行访问控制，比如：主体必须具有查询工资权限才可以查询员工工资信息等，访问控制流程如下：
上图中的判断逻辑代码可以理解为：
if(主体.hasPermission("查询工资权限标识")){
查询工资
}
优点：系统设计时定义好查询工资的权限标识，即使查询工资所需要的角色变化为总经理和部门经理也只需要将“查询工资信息权限”添加到“部门经理角色”的权限列表中，判断逻辑不用修改，系统可扩展性强。

知识点六：粗粒度权限和细粒度权限（了解这个才知道，对于不同的权限，如何进行解决）

       对资源类型的管理称为粗颗粒度权限管理，即只控制到菜单、按钮、方法，粗粒度的例子比如：用户具有用户管理的权限，具有导出订单明细的权限。对资源实例的控制称为细颗粒度权限管理，即控制到数据级别的权限，比如：用户只允许修改本部门的员工信息，用户只允许导出自己创建的订单明细。

（1）针对粗粒度权限的解决方法

对于粗颗粒度的权限管理可以很容易做系统架构级别的功能，即系统功能操作使用统一的粗颗粒度的权限管理。

（2）针对细粒度权限的解决方法

对于细颗粒度的权限管理不建议做成系统架构级别的功能，因为对数据级别的控制是系统的业务需求，随着业务需求的变更业务功能变化的可能性很大，建议对数据级别的权限控制在业务层个性化开发，比如：用户只允许修改自己创建的商品信息可以在service接口添加校验实现，service接口需要传入当前操作人的标识，与商品信息创建人标识对比，不一致则不允许修改商品信息。

二：基于URL拦截进行权限管理

（1）描述：这里先介绍一下如何不用Shiro进行权限管理的解决方法，这也是在企业中用得非常多的办法。

基于url拦截是企业中常用的权限管理方法，实现思路是：将系统操作的每个url配置在权限表中，将权限对应到角色，将角色分配给用户，用户访问系统功能通过Filter进行过虑，过虑器获取