shiro授权 . 配置注解权限验证

授权

1.添加角色和权限的授权方法

//根据username查询该用户的所有角色，用于角色验证

Set<String> queryRoleByName(String username);

//根据username查询他所拥有的权限信息，用于权限判断

Set<String> queryPersByName(String username);

2.自定义Realm配置Shiro授权认证

1) 获取验证身份（用户名）
2) 根据身份（用户名）获取角色和权限信息
3) 将角色和权限信息设置到SimpleAuthorizationInfo

 @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("授权");
        //进入授权方法的时候,登录主体subject没有任何角色以及权限
        String username=principalCollection.getPrimaryPrincipal().toString();
        Set<String> roles = this.userService.queryRoleByName(username);
        Set<String> pers = this.userService.queryPersByName(username);
        //将角色以及权限赋给对应的登录主体
        SimpleAuthorizationInfo info=new SimpleAuthorizationInfo();
        info.setRoles(roles);
        info.setStringPermissions(pers);

        return info;
    }

3.使用Shiro标签实现权限验证

3.1 导入Shiro标签库

<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

3.2 Shiro标签库

guest标签：验证当前用户是否为“访客”，即未认证（包含未记住）的用户
user标签：认证通过或已记住的用户
authenticated标签：已认证通过的用户。不包含已记住的用户，这是与user标签的区别所在
notAuthenticated标签：未认证通过用户，与authenticated标签相对应。与guest标签的区别是，该标签包含已记住用户
principal 标签：输出当前用户信息，通常为登录帐号信息
hasRole标签：验证当前用户是否属于该角色
lacksRole标签：与hasRole标签逻辑相反，当用户不属于该角色时验证通过
hasAnyRole标签：验证当前用户是否属于以下任意一个角色
hasPermission标签：验证当前用户是否拥有指定权限
lacksPermission标签：与hasPermission标签逻辑相反，当前用户没有制定权限时，验证通过

扫描二维码关注公众号，回复： 5320374 查看本文章

配置注解权限验证

1 Shiro注解

@RequiresAuthenthentication:表示当前Subject已经通过login进行身份验证;即 Subject.isAuthenticated()返回 true
@RequiresUser:表示当前Subject已经身份验证或者通过记住我登录的
@RequiresGuest:表示当前Subject没有身份验证或者通过记住我登录过，即是游客身份
@RequiresRoles(value = {"admin","user"},logical = Logical.AND):表示当前Subject需要角色admin和user
@RequiresPermissions(value = {"user:delete","user:b"},logical = Logical.OR):表示当前Subject需要权限user:delete或者user:b

2 开启注解

注：
必须将Shiro注解的开启放置到spring-mvc.xml中（即放在springMVC容器中加载），不然Shiro注解开启无效！！！
必须将Shiro注解的开启放置到spring-mvc.xml中（即放在springMVC容器中加载），不然Shiro注解开启无效！！！
必须将Shiro注解的开启放置到spring-mvc.xml中（即放在springMVC容器中加载），不然Shiro注解开启无效！！！

<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
depends-on="lifecycleBeanPostProcessor">
<property name="proxyTargetClass" value="true"></property>
</bean>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager"/>
</bean>

3 注解权限验证失败不跳转路径问题

问题原因：由于我们架构是用springmvc框架来搭建的所以项目的路径跳转是由springmvc 来控制的，也就是说我们在shiro里面的配置没有用

<property name="successUrl" value="/index.jsp"/> //没有用，达不到预期效果

<property name="unauthorizedUrl" value="/user/noauthorizeUrl"/> //没有用，达不到预期效果

解决方案：
springmvc中有一个org.springframework.web.servlet.handler.SimpleMappingExceptionResolver类就可以解决这个问题

<bean id="exceptionResolver" class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver">
<property name="exceptionMappings">
<props>
<prop key="org.apache.shiro.authz.UnauthorizedException">
unauthorized
</prop>
</props>
</property>
<property name="defaultErrorView" value="unauthorized"/>

</bean>

 /**
     * 身份认证的注解
     * @return
     */
    @RequiresUser
    @RequestMapping("/passUser")
 public String passUser(){
       return "admin/addUser" ;
    }

    /**
     * 角色认证的注解
     * @return
     */

    @RequestMapping("/passRole")
    @RequiresRoles(value = {"高级用户","管理员"},logical = Logical.AND)//表示当前Subject需要角色高级用户和管理员
    public String passRole(){
        return "admin/listUser" ;
    }

    /**
     * 权限认证的注解
     * @return
     */
    @RequestMapping("/passPer")
    @RequiresPermissions(value = {"user:update","user:view"},logical = Logical.OR)//表示当前Subject需要权限user:update或者user:view
    public String passPer(){
        return "admin/updateUser" ;
    }

shiro授权 . 配置注解权限验证

猜你喜欢