Spring中集成Shiro授权实例

我会带着你远行 2022-08-07 03:58 130阅读 0赞

# 授权流程回顾 #

首先说一句，使用授权的前提当然是先要实现身份验证，也就是要保证用户登录之后才可能考虑授权的问题。关于身份验证之前已经写过了，还不清楚的童鞋可以点[这里][Link 1]

上一篇文章介绍了Shiro中授权的一些基础知识和原理。学了就要用，本篇文章就介绍如何在项目中应用Shiro的授权。这里为了方便大家阅读，先贴出上一篇文章中分析出的授权流程：

1.  当我们调用`Subject.hasRole(...)`后
2.  首先会委托给**securityManager**来处理，而**securityManager**内部有一个**Authorizer**来做真正的授权，默认实现为**ModularRealmAuthorizer**
3.  **ModularRealmAuthorizer**可以根据多个Realm来判断是否拥有相应的角色，其中只要某个Realm匹配，则返回true
4.  **AuthorizingRealm**对于判断**hasRole**的逻辑也很简单(这里的**AuthorizationInfo**是通过覆盖`doGetAuthorizationInfo(PrincipalCollection principals)`方法来得到的)

protected boolean hasRole(String roleIdentifier, AuthorizationInfo info) {
            return info != null && info.getRoles() != null && info.getRoles().contains(roleIdentifier);
        }

而对于`Subject.isPermitted(...)`稍微会显得复杂一些，前三步都一样，就是**AuthorizingRealm**对于判断**isPermitted**的逻辑稍微有点不一样。它会先将权限字符串转换成**Permission**，将用户的权限转换成`List<Permission>`，这里的`List<Permission>`由三个部分组成：

*  通过`AuthorizationInfo.getObjectPermissions()`得到**Permission**实例集合
 *  通过`AuthorizationInfo. getStringPermissions()`得到字符串集合并通过**PermissionResolver**解析为Permission实例
 *  然后获取用户的角色，并通过**RolePermissionResolver**解析角色对应的权限集合（默认没有实现，可以自己提供）

接下来，用**Permission**和**List**进行匹配，其中遍历用户权限的匹配方法就是`implies(...)`，这个单词可以理解成“蕴含”的意思，这样就比较好理解了。

由于各组件角色定位都很清楚，所以我们这里实现授权只需要实现**AuthorizingRealm**就可以了。那么Shiro是否有线程的**AuthorizingRealm**供我们使用呢？答案是肯定的。**AuthorizingRealm**的实现有：**JdbcRealm**、**InitRealm**、**PropertiesRealm**等。由于我决定将授权数据存在数据库中（大多数情况也应该是这样），所以这里使用**JdbcRealm**。注意：下文直接用细粒度的模式来实现授权（即用户到角色，角色关联到权限的方式）

# 准备工作 #

首先，我们要建两张表，一张是用户到角色的关联表，一张的角色到权限的关联表。

*  首先是用户到角色的关联表 **user\_roles**

<table> 
 <thead> 
  <tr> 
   <th>id</th> 
   <th align="right">username</th> 
   <th align="right">role_name</th> 
  </tr> 
 </thead> 
</table>

*  然后是角色到权限关联表 **roles\_permissions**

<table> 
 <thead> 
  <tr> 
   <th>id</th> 
   <th align="right">role_name</th> 
   <th align="right">permission</th> 
  </tr> 
 </thead> 
</table>

# 配置Shiro #

**Shiro**提供了两个可配置的SQL语句来取得某用户的所有权限：**userRolesQuery**和**permissionsQuery**，其中**userRolesQuery**是用来得到该用户的所有角色，而**permissionsQuery**是根据该用户的所有角色来取出所有的权限。这里我们配置的SQL为：

userRolesQuery= select role_name from user_roles where username = ?
    permissionsQuery = select permission from roles_permissions where role_name = ?

这也是Shiro提供的默认的SQL内容，由于我们表名和列名都是参照该SQL建立的，所以直接使用默认的SQL即可。

另外还有一点需要注意的是，**JdbcRealm**默认是不支持权限查找的，也就是**permissionsQuery**默认是不会执行的。需要配置**permissionsLookupEnabled**为**true**，才能使之生效。另外别忘了配置数据源**datasource**，下面贴上配置文件：

# 使用授权 #

配置好后就可以像上一篇文章里写的那样使用了：  
比如我们在**Controller**中写一个方法

@RequiresPermissions("news:view")
        @RequestMapping("/newsList")
        public String newsList() {
            return "newsList";
        }

当该用户没有**news:view**权限时，就会抛出**UnauthorizedException**异常，我们捕获该类异常并提供“**未授权**”页面返回给用户。在**Spring**中是可以配置一个全局的**ExceptionHandler**的。当然在**Spring3.2**之后的版本还提供了**@ControllerAdvice**来增强**Controller**，其中定义的所有**@ExceptionHandler**方法将会应用于所有的**@RequestMapping**方法，那么我们可以这么来定义异常处理类：

@ControllerAdvice
    public class DefaultExceptionHandler { 
    
        @ExceptionHandler( { UnauthorizedException.class })
        @ResponseStatus(HttpStatus.UNAUTHORIZED)
        public ModelAndView processUnauthorizedException(
                NativeWebRequest request, UnauthorizedException e) {
            ModelAndView mv = new ModelAndView();
            mv.addObject("contextPath", request.getContextPath());
            mv.addObject("exception", e);
            mv.setViewName("special/unauthorized");
            return mv;
        }
    }

这里若启用声明式的鉴权，还需要启用**aspectJ**自动代理，并支持对类的代理。

<aop:aspectj-autoproxy proxy-target-class="true" />
        <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
            <property name="securityManager" ref="securityManager" />
        </bean>

[Link 1]: http://blog.csdn.net/u012345283/article/details/44004845