Shiro基础知识

授权流程

• 首先调用Subject.isPermitted*/hasRole*接口，其会委托给SecurityManager，而SecurityManager接着会委托给Authorizer
• Authorizer是真正的授权者，如果我们调用如isPermitted(“user:view”)，其首先会通过PermissionResolver把字符串转换成相应的Permission实例
• 在进行授权之前，其会调用相应的Realm获取Subject相应的角色/权限用于匹配传入的角色/权限
• Authorizer会判断Realm的角色/权限是否和传入的匹配，如果有多个Realm，会委托给ModularRealmAuthorizer进行循环判断，如果匹配如isPermitted*/hasRole*会返回true，否则返回false表示授权失败

ModularRealmAuthorizer进行多Relam匹配流程：
+ 首先检查相应的Realm是否实现了Authorizer
+ 如果实现了Authorizer，那么接着调用其相应的isPermitted*/hasRole*接口进行匹配
+ 如果有一个Realm匹配，那么将返回true，否则返回false

如果Realm进行授权的话，应该继承AuthorizingRealm，其流程是：
+ 如果调用hasRole*，则直接获取AuthorizationInfo.getRoles()与传入的角色比较即可
+ 首先如果调用如isPermitted(“user:view”)，首先通过PermittedResolver将权限字符串转换成相应的Permission实例，默认使用WildcardPermissionResolver，即转换为通配符的WildcardPermission;
+ 通过AuthorizationInfo.getObjectPermissions()得到Permission实例整合；通过AuthorizationInfo.getStringPermisions()得到字符串集合并通过PermissionResolver解析为Permission实例；然后获取用户的角色，并通过RolePermissionResolver解析角色对应的权限集合(默认没有实现，可以自己提供)
+ 接着调用Permission.implies(Permission p)逐个与传入的权限比较，如果有匹配的则返回true，否则false

与Web集成

过滤器DelegatingFilterProxy的作用是自动到spring容器查找名字为shiroFilter(filter-name)的bean，并把所有Filter的操作委托给它。然后将ShiroFilter配置到Spring容器即可

ini配置

urls配置

格式是：url=拦截器[参数]，拦截器[参数]
anon表示匿名访问，即不需要登录即可访问
authc拦截器表示需要身份认证通过后才能访问
roles[admin]拦截器表示需要有admin角色授权才能访问
perms[“user:create”]拦截器表示需要有”user:create”权限才能访问

url模式使用Ant风格模式，Ant路径通配符支持?, *, **，注意通配符匹配不包括目录分隔符/
+ ? 匹配一个字符
+ * 匹配零个或多个字符串
+ ** 匹配路径中的零个或多个路径

JSP标签

• 导入标签库

<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

• guest标签，用户没有身份验证时显示相应信息，即游客访问信息

<shiro:guest>
    Welcome !! <a href="${pageContext.request.contextPath}/login.jsp">登录</a>
</shiro:guest>

• user标签，用户已经身份验证/记住我登录后显示相应的信息

<shiro:user>
    Welcome [<shiro:principal/>]登录，<a href="${pageContext.request.contextPath}/logout.jsp">退出</a>
</shiro:user>

• authenticated标签，用户已经身份验证通过，即Subject.login登录成功，不是记住我登录的

<shiro:authenticated>
    用户[<shiro:principal>]已身份认证通过
</shiro:authenticated>

• notAuenticated标签，用户已经身份验证通过，即没有调用Subject.login登录，包括记住我自动登录的也属于未进身份验证

<shiro:notAuthenticated>
    未身份认证(包括记住我)
</shiro:notAuthenticated>

• principal标签，显示用户身份信息，默认调用Subject.getPrincipal()获取

<shiro:principal/>

<!-- 显示用户身份，默认调用Subject.getPrincipal()获取，即Primary Principal -->
<shiro:principal type="java.lang.String"/>
<shiro:principal property="username"/>

• hasRole标签，如果当前Subject有角色将显示body内容

<shiro:hasRole name="admin">
    用户[<shiro:principal/>]拥有角色admin<br/>
</shiro:hasRole>

• hasAnyRoles标签，如果当前Subject有任意一个角色(或的关系)将显示body体内容

<shiro:hasAnyRoles name="admin, user">
    用户[<shiro:principal/>]拥有角色admin或user <br/>
</shiro:hasAnyRoles>

• lacksRole标签，如果当前Subject没有角色将显示body体内容

<shiro:lacksRole name="abc">
    用户[<shiro:principal/>]没有角色abc <br/>
</shiro:lacksRole>

• lacksPermission标签，如果当前Subject没有权限将显示body体内容

<shiro:lacksPermission name="org:create">
    用户[<shiro:principal/>]没有权限org:create <br/>
</shrio:lacksPermission>

Spring注解

• @RequiresAuthentication
  表示当前Subject已经通过login进行了身份认证，即Subject.isAuthenticated()返回true

• @RequiresUser
  表示当前Subject已经身份验证或者通过记住我登录的

• @RequiresGuest
  表示当前Subject没有身份验证或通过记住我登录过，即是游客身份

• @RequiresRoles(value={“admin”, “user”}, logical=Logical.AND)
  表示当前Subject需要角色admin和user

• @RequiresPermissions(value={“user:a”, “user:b”}, logical=Logical.OR)
  表示当前Subject需要权限user:a或user:b