shiro-realm授权过虑器

使用PermissionsAuthorizationFilter

在applicationContext-shiro.xml中配置url所对应的权限

测试流程：
1、在applicationContext-shiro.xml中配置filter规则
	<!--商品查询需要商品查询权限  -->
	/items/queryItems.action = perms[item:query]
2、用户在认证通过后，请求/items/queryItems.action
3、被PermissionsAuthorizationFilter拦截，发现需要“item:query”权限
4、PermissionsAuthorizationFilter调用realm中的doGetAuthorizationInfo获取数据库中正确的权限
5、PermissionsAuthorizationFilter对item:query 和从realm中获取权限进行对比，如果“item:query”在realm返回的权限列表中，授权通过

在realm中写授权的方法

	// 用于授权
	@Override
	protected AuthorizationInfo doGetAuthorizationInfo(
			PrincipalCollection principals) {
		
		//从 principals获取主身份信息
		//将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型），
		String userCode = (String)principals.getPrimaryPrincipal();
		
		//根据身份信息获取权限的信息
		//模拟从数据库中取得该用户的权限信息
		List<String> permissions = new ArrayList<String>();
		/**
		 * 用户的查询权限，这个权限拥有了 这个权限，当该用户访问
		 * /items/queryItem.action = perms[item:query]
		 * 时就不会被拦截住
		 * 就是说这个用户拥有该资源的访问权限
		 */
		permissions.add("item:query");
		
		//查询权限数据，返回授权信息
		SimpleAuthorizationInfo sAuthorizationInfo = new SimpleAuthorizationInfo();
		//将用户的权限信息填充到sAuthorizationInfo中返回
		sAuthorizationInfo.addStringPermissions(permissions);
		
		return sAuthorizationInfo;
	}
	

如果授权失败，跳转到refuse.jsp，需要在spring容器中配置：已经在applicationContext-shiro.xml中配置了

<!-- 这是认证之后访问没有权限的资源，会统一跳转到这个jsp -->
<property name="unauthorizedUrl" value="/refuse.jsp"></property>

但是这种授权的方式存在两个问题

1、在applicationContext-shiro.xml中配置过虑器链接，需要将全部的url和权限对应起来进行配置，比较发麻不方便使用。

2、每次授权都需要调用realm查询数据库，对于系统性能有很大影响，可以通过shiro缓存来解决

可以通过下一章的注解和标签来解决这些问题