Shiro之授权管理与授权的三种方式（1、编程方式，2、注解方式，3、jsp标签）-yellowcong

授权管理，三种方式，其中注解和jsp的方式在开发中用得比较的多，但是对于编程的方式完成注解，在实际开发中，用得不是特别多。这一节，讲解shiro如何完成授权的，授权操作，需要在Reaml中，实现doGetAuthorizationInfo 方法，多Reaml的情况下， 只要一个Reaml中满足条件，就会执行

源码地址

https://gitee.com/yellowcong/shior-dmeo/tree/master/test

Shiro的授权三种方式

1、编程方式
2、注解方式
3、jsp标签

授权

授权的时候，需要实现doGetAuthorizationInfo 这个方法，需要根据用户名来获取用户所属的权限和角色。

package com.yellowcong.shiro.realm;import java.util.Set;import org.apache.shiro.authc.AuthenticationException;import org.apache.shiro.authc.AuthenticationInfo;import org.apache.shiro.authc.AuthenticationToken;import org.apache.shiro.authc.SimpleAuthenticationInfo;import org.apache.shiro.authc.UnknownAccountException;import org.apache.shiro.authc.UsernamePasswordToken;import org.apache.shiro.authz.AuthorizationInfo;import org.apache.shiro.authz.SimpleAuthorizationInfo;import org.apache.shiro.realm.AuthorizingRealm;import org.apache.shiro.subject.PrincipalCollection;import org.apache.shiro.util.ByteSource;import org.springframework.beans.factory.annotation.Autowired;import com.yellowcong.service.RolePermissionService;import com.yellowcong.service.UserRoleService;import com.yellowcong.service.UserService;import com.yellowcong.shiro.model.User;/** * 创建日期:2017年9月23日 <br/> * 创建用户:yellowcong <br/> * 功能描述:用于授权操作 */public class SampleRealm extends AuthorizingRealm {    @Autowired    private UserService userService;    @Autowired    private UserRoleService userRoleService;    @Autowired    private RolePermissionService rolePermissionService;    /**     * 用户授权，当用户访问需要有权限的页面的情况，需要访问这个方法来获取权限列表     */    @Override    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection paramPrincipalCollection) {        //用户名称        Object username = paramPrincipalCollection.getPrimaryPrincipal();        SimpleAuthorizationInfo info =  new SimpleAuthorizationInfo();        // 根据用户ID查询角色（role），放入到Authorization里。        Set<String> roles = userRoleService.getRoleByName(username.toString());        info.setRoles(roles);        // 根据用户ID查询权限（permission），放入到Authorization里。        Set<String> permissions = this.rolePermissionService.getPermissionByRole(roles);        info.setStringPermissions(permissions);        return info;    }    /**     * 认证，用户登录     * 登陆的时候，会调用这个     */    @Override    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken paramAuthenticationToken) throws AuthenticationException {        UsernamePasswordToken token = (UsernamePasswordToken) paramAuthenticationToken;        //数据库中，查询用户的信息        User user = userService.login(token.getUsername());        // token返回的是一个数组,将char类型转化为String类型        //这个是web前台传递过来的值        //这个密码的比对是通过Shiro自己给我们完成的        //密码是通过AuthenticatingRealm.getCredentialsMatcher 的方式来进行比对的        String pswDate = new String(token.getPassword());        //当用户为空的情况        if(user == null){            // 当没有用户的时候，抛出异常            throw new UnknownAccountException();        }        //第一个参数：用户名/用户对象        String username =token.getUsername();        //第二个参数：用户的密码        String password = user.getPassword();        //第三个参数：盐值(这个盐是 username)        ByteSource solt = null;        //第四个参数：获取这个Realm的信息        String realmName =this.getName();        //他们拿到密码web的密码，同数据库获取到的密码进行比对操作        return new SimpleAuthenticationInfo(username, password, solt,realmName);    }}

权限控制

1、基于代码实现权限管理

   Subject currentUser = SecurityUtils.getSubject();       if (currentUser.hasRole("administrator")) {           //拥有角色administrator     } else {           //没有角色处理     }    

2、jsp端，权限的处理

通过jsp的shiro标签，进行权限的控制。

标签 意义 <shiro:authenticated> 登录之后 <shiro:notAuthenticated> 不在登录状态时 <shiro:guest> 用户在没有RememberMe时 <shiro:user> 用户在RememberMe时 <shiro:hasAnyRoles name="abc,123" > 在有abc或者123角色时 <shiro:hasRole name="abc"> 拥有角色abc <shiro:lacksRole name="abc"> 没有角色abc <shiro:hasPermission name="abc"> 拥有权限资源abc <shiro:lacksPermission name="abc"> 没有abc权限资源 <shiro:principal> 默认显示用户名称

<%@ page language="java" contentType="text/html; charset=UTF-8"    pageEncoding="UTF-8"%><%--shiro 标签 --%><%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>  <!DOCTYPE html><html><head>  <meta charset="utf-8">  <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">  <title>后台管理 - yellowcong</title>  <script src="<%=request.getContextPath() %>/resources/plugins/jquery/jquery.min.js"></script></head><body class="layui-layout-body"  ><shiro:hasRole name="admin"><a href="<%=request.getContextPath() %>/user/admin">管理员</a><br/></shiro:hasRole><shiro:hasRole name="user"><a href="<%=request.getContextPath() %>/user/user">普通用户</a><br/></shiro:hasRole><a href="<%=request.getContextPath() %>/user/loginOut">退出</a></body></html>

普通用户登录

管理员用户登录

3、基于注解的方式

注解 意义 案例 @RequiresAuthentication 验证用户是否登录 @RequiresUser 当前用户已经验证过了或则记住我了 @RequiresGuest 是否是游客身份 @RequiresRoles 判断subject中有aRoleName角色才可以访问方法someMethod @RequiresRoles({“admin”}) @RequiresPermissions 需要拥有权限 @RequiresPermissions({“file:read”, “write:aFile.txt”} )

案例

控制层

//只有管理员，才能执行这个方法@RequestMapping("/admin/test")public String adminTest(){    shiroService.test();    return "user/admin_test";}

只能在 service 层添加权限的注解 如果放到Controller层，就不生效。

package com.yellowcong.service;import org.apache.shiro.authz.annotation.RequiresRoles;import org.springframework.stereotype.Service;/** * 创建日期:2017/12/20<br/> * 创建时间:17:21:33<br/> * 创建用户:yellowcong<br/> * 机能概要: */@Service("shiroService")public class ShiroService {    @RequiresRoles({"admin"})    public void test() {        System.out.println("执行了程序");    }}

普通用户访问

管理人员正常执行

@RequiresRoles({“admin”})不生效的问题

1、注解需要写在Service层

会遇到打死都不执行注解的问题，后来发现，如果把Shiro的注解写在SpringMvc的Controller层就不好用,需要写在Service层

2、需要将shiro生命周期配置在Spring-mvc.xml的配置文件中

 <!-- Shiro生命周期处理器-->   <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />    <!-- AOP式方法级权限检查 -->      <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"          depends-on="lifecycleBeanPostProcessor">          <property name="proxyTargetClass" value="true" />      </bean>      <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">          <property name="securityManager" ref="securityManager" />      </bean>