springboot2+shiro+JWT实现权限校验功能——通过注解方式实现

颗粒度概述

权限颗粒度分为粗粒度和细粒度：
粗粒度：用户具有CRUD中的某些完整的权限，通常指表的操作
细粒度：用户只允许操作表中的某些特定的数据，例如：用户只允许操作id为1,2,3,4的数据
shiro的权限控制是粗粒度的，可以通过业务代码实现细粒度的权限控制

总体概述

shiro进行权限验证的前提是用户已经登录，即可以获取到subject，如果在配置了anon的接口上通过注解的形式进行权限验证，则会报错。
本文章建立在已经可以完成认证的前提下，具体步骤可以参考springboot2+shiro+JWT实现登录功能

总体步骤

1、开启shiro注解的支持
2、在ShiroRealm中编写doGetAuthorizationInfo的详细实现，进行赋权
3、在控制器中添加注解进行权限控制
4、编写异常处理类，捕捉并处理因权限不足而抛出的异常

1、开启注解的支持

注解式必须开启的，否则即使在控制器添加的注解，也无法正常使用，在shiroConfig中添加如下配置

    @Bean
    public static LifecycleBeanPostProcessor getLifecycleBeanPostProcessor() {
        return new LifecycleBeanPostProcessor();
    }

    /**
     * 开启shiro aop注解支持. 使用代理方式;所以需要开启代码支持;
     *
     * @param securityManager
     * @return
     */
    @Bean
    public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {
        AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();
        authorizationAttributeSourceAdvisor.setSecurityManager(securityManager);
        return authorizationAttributeSourceAdvisor;
    }

    @Bean
    public DefaultAdvisorAutoProxyCreator getDefaultAdvisorAutoProxyCreator() {
        DefaultAdvisorAutoProxyCreator autoProxyCreator = new DefaultAdvisorAutoProxyCreator();
        autoProxyCreator.setProxyTargetClass(true);
        return autoProxyCreator;
    }

2、编写doGetAuthorizationInfo进行授权

在shiroRealm中查询用户的角色或权限，该代码只会在shiro在缓存中拿不到的时候执行，执行成功后，将会放进缓存中

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //模拟获取权限代码，将查询到的权限赋给当前用户
        ArrayList<String> permissions = new ArrayList<>();
        permissions.add("sys:p1");
        info.addStringPermissions(permissions);
        //模拟获取角色代码，将查询到的角色赋给当前用户
        ArrayList<String> roles = new ArrayList<>();
        roles.add("admin");
        info.addRoles(roles);
        return info;
    }

3、在控制器中添加注解进行权限控制

    /**
     * @RequiresPermissions注解将从用户的AuthorizationInfo中获取Permissions集合
     *          获取到集合后，将对value数组进行判断
     *          value中的多个权限之间的关系可以通过logical指定是与（AND）还是或（OR）
     * @return
     */
    @RequiresPermissions(value = {"sys:p1","sys:p2"},logical = Logical.OR)
    @RequestMapping(value = "/getHello")
    public String getInfo2(){
        return "hello i am Hello!";
    }
    /**
     * @RequiresRoles注解从用户的AuthorizationInfo中获取Roles集合
     *          具体功能、用法与@RequiresPermissions注解相同
     * @return
     */
    @RequiresRoles("admin")
    @RequestMapping(value = "/getHi")
    public String getInfo3(){
        return "hello i am Hi!";
    }

4、编写异常处理类

使用@ControllerAdvice注解搭配@ExceptionHandler({UnauthorizedException.class})注解捕获并处理异常

    /**
     * 可以获取请求的request对象，按需进行操作
     * 可以获取抛出的异常对象，按需进行操作
     * 可对请求进行重定向，将请求重定向到某个页面或控制器
     * 需要返回json串儿的话，在方法上添加@ResponseBody注解即可
     * @param request
     * @param e
     * @return
     */
//    @ResponseBody
    @ExceptionHandler({UnauthorizedException.class})
    public String unauthorizedException(NativeWebRequest request, UnauthorizedException e){
        System.out.println(request.getParameter("param1"));
        e.printStackTrace();
        return "redirect:/403";
    }

	//权限不足空控制器
    @RequestMapping(value = "/403")
    public String unauthorized(){
        return "权限不足";
    }

测试

权限充足可正常访问

权限不足测试