shiro权限管理_01

一、权限管理包括用户身份认证和授权两部分，简称认证授权.。

       对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。

      1.用户名密码认证流程

       身份认证：用户名密码认证、指纹认证、刷卡认证

       关键对象：主体（用户等）、身份信息（唯一的身份标识。用户名，手机号、邮箱等）、凭证信息（密码、证书等）

2.授权流程                

                   授权的理解：who对what(which)进行How操作，即：主体对资源进行某种的操作

                   who：即主体（Subject），主体需要访问系统中的资源。

                   What，即资源（Resource），如系统菜单、页面、按钮、类方法、系统商品信息等。资源包括资源类型和资源实例，比如商品信息为资源类型，类型为t01的商品为资源实例，编号为001的商品信息也属于资源实例。

                    How，权限/许可（Permission），规定了主体对资源的操作，权限离开资源没有意义，如用户查询权限、用户添加权限、某个类方法的调用权限、编号为001用户的修改权限等，通过权限可知主体对哪些资源都有哪些操作许可。

  在企业开发时，通常将资源和权限表合并成一张表，如：

                  资源（资源名称，资源访问地址）

                  权限（权限名称，资源id）

                   合并为：

                  权限（权限名称、资源名称、资源访问地址）

                  权限分为粗颗粒权限和细颗粒权限，粗颗粒权限是指对资源类型的权限，细颗粒权限是对资源实例的权限。