shiro基础学习(三)—shiro授权

一、入门程序

1.授权流程

    

 

2.授权的三种方式

(1)编程式: 通过写if/else 授权代码块完成。

Subject subject = SecurityUtils.getSubject();

if(subject.hasRole("admin")) {

     //有权限

} else {

     //无权限

}

(2)注解式: 通过在执行的Java方法上放置相应的注解完成。

@RequiresRoles("admin")

public void hello() {

     //有权限

}

(3)JSP/GSP 标签: 在JSP/GSP 页面通过相应的标签完成。

<shiro:hasRole name="admin">

     <!— 有权限—>

</shiro:hasRole>

 

3.ini文件

shiro-permission.ini

     在ini文件中用户、角色、权限的配置规则是：“用户名=密码，角色1，角色2...” “角色=权限1，权限2...”，首先根据用户名找角色，再根据角色找权限，角色是权限集合。

     权限字符串的规则是：“资源标识符：操作：资源实例标识符”，意思是对哪个资源的哪个实例具有什么操作，“:”是资源/操作/实例的分割符，权限字符串也可以使用*通配符。

例子:

用户创建权限: user:create，或user:create:*

用户修改实例001的权限: user:update:001

用户实例001的所有权限: user:*:001

 

4.测试代码

/*
* 授权的测试
*/
public class AuthorzationTest{//角色授权、资源授权测试@Test
public void testAuthorzation(){
//创建SecurityManager工厂
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-permission.ini");//创建SecurityManager
SecurityManager securityManager = factory.getInstance();//将SecurityManager设置到系统环境
SecurityUtils.setSecurityManager(securityManager);//创建Subject
Subject subject = SecurityUtils.getSubject();//创建token令牌
UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");//执行认证
try{
subject.login(token);
}catch(AuthenticationException e){
e.printStackTrace();
}System.out.println("是否认认证通过: " + subject.isAuthenticated());//基于角色的授权(角色标识)
boolean hasRole = subject.hasRole("role3");
System.out.println("基于角色的授权: " + hasRole);//基于资源的授权(权限标识符)
boolean permitted = subject.isPermitted("user:create");
System.out.println("基于资源的授权: " + permitted);
}}

结果:

       是否认认证通过: true

       基于角色的授权: false

       基于资源的授权: true

 

二、自定义Realm

1.shiro-realm.ini

     在shiro-realm.ini中配置自定义的realm，将realm设置到securityManager中。

    

 

2.实现代码

/*
* 自定义Realm
*/
public class CustomRealm extends AuthorizingRealm{//设置Realm名称
@Override
public void setName(String name){
super.setName("customRealm");
}//用于认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException{//1.从token取出用户身份信息
String userCode = (String)token.getPrincipal();//2.根据用户userCode查询数据库
//模拟从数据库查询到的密码
String password = "123";//3.查询到返回认证信息
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(userCode,password,this.getName());return info;
}//用于授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){//获取主身份信息
String userCode = (String)principals.getPrimaryPrincipal(); //根据身份信息获取权限信息
//模拟从数据库获取到数据
List<String> permissions = new ArrayList<String>();
permissions.add("user:create"); //用户的创建权限
permissions.add("items:add"); //商品的添加权限 //将查询到授权信息填充到对象中
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.addStringPermissions(permissions);return info;
}
}

 

3.测试代码

@Test
public void testCusRealm(){
//创建SecurityManager工厂
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-realm.ini");//创建SecurityManager
SecurityManager securityManager = factory.getInstance();//将SecurityManager设置到系统环境
SecurityUtils.setSecurityManager(securityManager);//创建Subject
Subject subject = SecurityUtils.getSubject();//创建token令牌
UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");//执行认证
try{
subject.login(token);
}catch(AuthenticationException e){
e.printStackTrace();
}System.out.println("是否认认证通过: " + subject.isAuthenticated());//基于资源的授权(权限标识符)
boolean permitted = subject.isPermitted("user:create");
System.out.println("基于资源的授权: " + permitted);
}