Shiro快速入门 —— 5.授权

最新推荐文章于 2025-09-10 22:21:01 发布

转载最新推荐文章于 2025-09-10 22:21:01 发布 · 67 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：https://my.oschina.net/u/3452433/blog/898444

文章标签：

#数据库 #python #数据结构与算法

本文介绍Apache Shiro框架中的权限管理实现方法，包括角色与权限的分配、四种权限验证方式及其应用场景。

2019独角兽企业重金招聘Python工程师标准>>>

本系列博文目录：https://my.oschina.net/u/3452433/blog/907396

shiro授权的操作主要分为两个步骤

1、匹配登录用户的角色，并将权限赋予当前用户所创建的Subject。

2、访问某一资源时，从当前用户Subject中取得权限并验证是否可以访问这个资源。

权限管理

shiro本身并不提供权限管理的机制，权限的管理需要我们自己进行维护。常见的做法是在数据库创建用户、角色和权限表进行管理。数据结构类似于下图

权限的标识符（代码中匹配权限的字符串）理论上可以自由定义，但是一般情况我们会赋予含义。

例如：“company_add“或“company：add”。前面代表模块后面代表功能。

赋予权限

当一个用户成功登陆后，我们会先取得用户的userId，然后去数据库中找到对应的角色以及下面的所有权限。最后将这些权限存入当前用户的权限信息中，以便访问资源时使用这些权限进行比对。

赋予权限时我们要继承AuthorizingRealm类，并实现doGetAuthorizationInfo抽象方法。

    /**
     * 授权
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        //获取当前登录用户的信息（登录认证时取得的）
        Principal principal = (Principal) principals.getPrimaryPrincipal();
        //使用登录信息中存入的userId获取当前用户所有权限
        List<String> authorities = getAuthority(principal.getUserId());
        //创建授权信息类
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        //将权限存入授权信息类
        authorizationInfo.addStringPermissions(authorities);

        return authorizationInfo;
    }

验证权限

shiro支持通过四种方式进行权限验证。

1、代码判断（代码级）

使用subject.isPermitted( )方法，验证是否有权限，后进行对应的处理。验证失败逻辑自己实现。

if(SecurityUtils.getSubject().isPermitted("admin_home")){
   System.out.println("我有这个权限");
}else{
   System.out.println("我没有这个权限");
}

2、使用注解（方法级）

注解方式属于方法级的权限控制。使用@RequiresPermissions注解的方法时会验证权限。验证失败抛出org.apache.shiro.authz.AuthorizationException异常。

@RequiresPermissions("admin_home")
@RequestMapping(value="/index", method = RequestMethod.GET)
public String index(ModelMap model){
    System.out.println("我有这个权限");
}

3、使用标签（页面元素级）

使用标签属于页面元素及的权限控制。访问被标签控制的页面元素时，需要拥有标签指定的权限。验证失败的的内容在页面上是隐藏的。

这里需要注意freemaker是不能直接使用shiro权限验证标签的，如果要使用需要引入shiro-freemarker-tags包，具体方法请参考另一篇博文《Shiro快速入门 —— 9.freemaker使用shiro标签》。

<!-- 验证单个权限 -->
<@shiro.hasPermission name = "admin_company_manage">
  <!-- 被控制的页面元素 -->
</@shiro.hasPermission>


<!-- 验证多个权限是可以在外层嵌套循环，只要拥有其中一个权限就显示标签 -->
<#list ["admin1","admin2","admin3"] as permission>
  <@shiro.hasPermission name = permission>
     <!-- 被控制的页面元素 -->
  </@shiro.hasPermission>
</#list>

4、拦截器（路径级）

在拦截器拦截路径配置时，可以指定权限拦截器和所需的权限。当访问此路径时进行权限验证。验证失败会访问在拦截器工厂类中配置的无权限提示页。具体方法可以参考《Shiro快速入门 —— 2.拦截器》

Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
filterChainDefinitionMap.put("/home1/**", "perms[admin1]");
filterChainDefinitionMap.put("/home2/**", "perms[admin2]");
filterChainDefinitionMap.put("/home3/**", "perms[admin3]");
shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);//设置拦截规则

拦截器工厂类中配置无权限提示页。具体方法可以参考《Shiro快速入门 —— 2.拦截器》

shiroFilterFactoryBean.setUnauthorizedUrl("/common/unauthorized");//配置没有权限跳转的页面

转载于:https://my.oschina.net/u/3452433/blog/898444