第六讲授权

1、授权：给身份认证通过的人，授予他可以访问某些资源的权限。

2、权限粒度：分为粗粒度和细粒度。

　　粗粒度：对user的crud。也就是说通常对表的操作。

　　细粒度：是对记录的操作。如：只允许查询id为1的user的工资。

　　Shiro一般管理的是粗粒度的权限。比如：菜单，按钮，url。一般细粒度的权限是通过业务来控制的。

3、角色：权限的集合。

4、权限表示规则：资源：操作：实例。可以用通配符表示：

　　如：user:add 表示对user有添加的权限，user:* 表示对user具有所有操作的权限。

　　　　user:delete:100，表示对user标识为100的记录有删除的权限。

5、Shiro中的权限流程

6、编码实现

　　（1）新建java项目

　　（2）编辑shiro.ini配置文件

1 [users]
2 zhangsan=1111,role1
3 lisi=1111,role2
4 
5 [roles]
6 role1=user:add,user:update,user:delete
7 role2=user:*

　　（3）编码测试

 1 package com.sun123.shiro;
 2 
 3 import java.util.Arrays;
 4 
 5 import org.apache.shiro.SecurityUtils;
 6 import org.apache.shiro.authc.AuthenticationException;
 7 import org.apache.shiro.authc.UsernamePasswordToken;
 8 import org.apache.shiro.config.IniSecurityManagerFactory;
 9 import org.apache.shiro.mgt.SecurityManager;
10 import org.apache.shiro.subject.Subject;
11 import org.apache.shiro.util.Factory;
12 
13 public class AuthorizationDemo {
14 
15     public static void main(String[] args) {
16         Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
17         SecurityManager securityManager = factory.getInstance();
18         SecurityUtils.setSecurityManager(securityManager);
19         Subject subject = SecurityUtils.getSubject();
20         
21         UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "1111");
22         
23         try {
24             //认证
25             subject.login(token);
26         } catch (AuthenticationException e) {
27             e.printStackTrace();
28             System.out.println("认证不通过");
29         }
30         
31         //基于角色的授权
32         boolean flag = subject.hasRole("role2");
33         System.out.println(flag);
34         //判断是否具有多个角色
35         subject.hasRoles(Arrays.asList("role1","role2"));
36         //可以通过checkRole来检测是否具有某个角色，如果不具有该角色，则抛出AuthorizerException
37         //subject.checkRole("role2");
38         //也就可以同时检测多个角色
39         //subject.checkRoles("role1","role2");
40         //基于资源的授权
41         flag = subject.isPermitted("user:delete");
42         System.out.println(flag);
43         
44         //判断是否具有多个权限
45         flag = subject.isPermittedAll("user:add","user:update","user:delete");
46         System.out.println(flag);
47         //通过checkPermission检测认证用户是否具有某个权限，如果没有，则抛出异常
48         subject.checkPermission("user:dd");
49         
50     }
51 }

7、Shiro中的权限检查方式有3种

　　（1）编程式

if(subject.hasRole("管理员")){
    //操作某个资源    

}

　　（2）注解式　　在执行指定的方法时，会检测是否具有该权限

@RequiresRoles("管理员")
public void list(){
    //查询数据

}

　　（3）标签

 1 <%@ page language="java" contentType="text/html; charset=ISO-8859-1"
 2     pageEncoding="ISO-8859-1"%>
 3 <%@taglib prefix="shiro" uri="http://shiro.apache.org/tags"%>
 4 <!DOCTYPE html>
 5 <html>
 6 <head>
 7 <meta charset="ISO-8859-1">
 8 <title>Insert title here</title>
 9 </head>
10 <body>
11     <shiro:hasPermission name="user:update">
12         <a href="#">更新</a>
13     </shiro:hasPermission>
14 </body>
15 </html>

8、授权流程

　　（1）获取subject主体

　　（2）判断主体是否通过认证

　　（3）调用subject.isPermitted*，或者hasRole*来进行权限判断

　　　　　① Subject是由其实现类DelegatingSubject来调用方法的，该类将处理交给了securityManager

　　　　　② securityManager是由其实现类DefaultSecurityManager来进行处理，该类的isPermitted来处理，其本质父类AuthorizingSecurityManager来处理的。该类将处理authorizer（授权器）

　　　　　③ Authorizer由其实现类ModularRealmAuthorizer来处理该类可以调用对应的Realm来获取数据，在该类有PermissionResolver对权限字符串进行解析，在对应的Realm中也有对应的PermissionResolver交给WildcardPermissionResolver该类调用WildcardPermission来进行权限字符串的解析。

　　　　　④ 返回处理结果。

第六讲 授权

猜你喜欢