shiro-身份授权流程、案例

一、身份授权流程

首先调用Subject.isPermitted/hasRole接口，委托给SecurityManager.
SecurityManager接着会委托给内部组件Authorizer.
Authorizer再将其请求委托给我们的Realm去做，Realm才是真正干活的.
realm将用户请求的参数封装成权限对象，再从我们重写的doGetAuthorizationInfo方法中获取从数据库中查询到的权限集合.
Realm将用户传入的权限对象，与数据库查询出来的权限对象进行比较。如果用户掺入的权限对象在数据库中存在，侧返回true，否则返回false。
前提：进行授权操作的前提，用户必须通过认证。

二、案例

1.首先模拟数据库查询数据

 /*** 通过用户名查询角色列表* @param loginName* @return*/List<String> findRoleByLoginName(String loginName);/*** 通过用户名查询资源列表* @param loginName* @return*/List<String> findPermissionByLoginName(String loginName);

/*** 通过用户名查询角色列表* 伪代码* @param loginName* @return*/@Overridepublic List<String> findRoleByLoginName(String loginName) {List<String> list = Lists.newArrayList();list.add("admin");list.add("dev");return list;}/*** 通过用户名查询资源列表* 伪代码* @param loginName* @return*/@Overridepublic List<String> findPermissionByLoginName(String loginName) {List<String> list = Lists.newArrayList();list.add("order.add");list.add("order.insert");list.add("order.delete");return list;}

2.编写授权，认证的代码在之前的文章里

/*** 鉴权* @param principalCollection* @return*/@Overrideprotected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {//一、拿到用户凭证String loginName = (String)principalCollection.getPrimaryPrincipal();//二、从数据库中查询对应的角色和权限SecurityServiceImpl service = new SecurityServiceImpl();List<String> roles = service.findRoleByLoginName(loginName);List<String> permissions = service.findPermissionByLoginName(loginName);//三、构建资源校验对象SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();simpleAuthorizationInfo.addRoles(roles);simpleAuthorizationInfo.addStringPermissions(permissions);return simpleAuthorizationInfo;}

         //导入ini配置创建工厂IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro.ini");//工厂构建安全管理器SecurityManager securityManager = factory.getInstance();//使用工具生效安全管理器SecurityUtils.setSecurityManager(securityManager);//使用工具获取subject的主体Subject subject = SecurityUtils.getSubject();//构建账号密码UsernamePasswordToken passwordToken = new UsernamePasswordToken("zhangSan", "123");//使用subject主体去登录subject.login(passwordToken);//打印登录信息System.out.println("登录结果" + subject.isAuthenticated());//校验当前用户是否拥有管理员的权限boolean admin = subject.hasRole("admin");System.out.println("是否用户管理员角色"+admin);//校验当前用户没有的角色try {subject.checkRole("coder");System.out.println("当前用户有coder这个角色");} catch (AuthorizationException e) {System.out.println("当前用户没有coder这个角色");}//校验当前用户的权限信息System.out.println("当前用户是否有查看订单的权限"+ subject.isPermitted("order:list"));//校验当前用户没有的权限try {subject.checkPermission("order:update");System.out.println("当前用户有修改权限");} catch (AuthorizationException e) {System.out.println("当前用户没有修改权限");}