spring mvc集成shiro权限控制

最新推荐文章于 2022-08-24 03:24:38 发布
最新推荐文章于 2022-08-24 03:24:38 发布
阅读量1.3k 收藏 3
点赞数
分类专栏： 美妙的Spring世界 文章标签： spring mvc shiro
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/GAMEloft9/article/details/78683504
版权

一、概述

          在上一篇spring mvc集成mybatis进行数据库访问中，用户登录验证是直接将数据库存放的密码和登录传到后台的密码进行对比，而实际情况下，认证和授权等权限控制比这复杂得多。Apache Shiro是一个功能强大，使用简单的Java安全框架，它为开发人员提供一个直观而全面的认证，授权，加密及会话管理的解决方案。按照一贯的写作手法，这里仅讲解集成，不对shiro做过多介绍，对shiro感兴趣的可以参考官网：http://shiro.apache.org/

二、操作步骤

1、添加pom依赖

<!--shiro-->
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-spring</artifactId>
    </dependency>
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-web</artifactId>
    </dependency>

2、在web.xml中添加shiro过滤器

<!--过滤器-->
  <!--shiro filter 必须放在其他filter前面-->
  <filter>
    <filter-name>myShiroFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    <init-param>
      <param-name>targetFilterLifecycle</param-name>
      <param-value>true</param-value>
    </init-param>
  </filter>
  <filter-mapping>
    <filter-name>myShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

3、在resources目录下添加applicationContext-security.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd">

    <!-- 配置shrio的验证 -->
    <bean id="shiroRealm" class="com.xxx.demo.security.ShiroRealm">
        <property name="userServiceImpl" ref="userServiceImpl"/>
    </bean>

    <!-- 配置shrio的验证管理 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realms">
            <list>
                <ref bean="shiroRealm"/>
            </list>
        </property>
    </bean>

    <!-- 配置shrio的过滤功能，通过javaconfig实现，不放在xml中配置
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"></bean>
    -->

    <!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>

</beans>


      ShiroRealm：shiro定义了认证和授权的一套流程，但是这个认证信息和授权信息如何取得则由用户自己决定，可以放在数据、可以通过接口获取，可以放在任何地方。shiroRealm就是用于认证和授权时，定义如何获取认证信息和授权信息的，用户需要重写里面的doGetAuthenticationInfo和doGetAuthorizationInfo两个方法。

      安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject(用户信息的一个集合)；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互。定义安全管理器时，会将ShrioRealm注入进去。

        ShrioFilter：shiro过滤的工厂对象，负责定义登录页面，登录成功后的页面及过滤链等等，他告诉shiro哪些访问是需要认证的，哪些又是需要授权的。过滤链如果放在xml中配置，不方便进行动态改变，所以我们将其通过java config进行配置，从数据库中读取过滤链，这个稍候会讲到。

4、通过Java config配置ShiroFilter

新建一个ShiroConfig配置类，如图所示：

package com.xxx.demo.security;

import com.xxx.demo.dataaccess.api.SysAccessPermissionService;
import com.xxx.demo.dataaccess.model.SysAccessPermissionTest;
import lombok.extern.slf4j.Slf4j;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.apache.shiro.mgt.SecurityManager;

import java.util.LinkedHashMap;
import java.util.List;
import java.util.Map;

/**
 * shiro filter放在Java代码里配置，方便从数据库动态加载配置
 * Created by gameloft9 on 2017/12/4.
 */
@Configuration
@Slf4j
public class ShiroConfig {

    @Autowired
    SysAccessPermissionService sysAccessPermissionServiceImpl;

    @Autowired
    SecurityManager securityManager;

    /**
     * 配置FilterFactoryBean
     * */
    @Bean(name = "myShiroFilter")
    public ShiroFilterFactoryBean myShiroFilter() {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        //设置 SecurityManager
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        //设置登录链接
        shiroFilterFactoryBean.setLoginUrl("/index");
        // 登录成功后要跳转的链接
        shiroFilterFactoryBean.setSuccessUrl("/home");
        // 未授权跳转链接;
        shiroFilterFactoryBean.setUnauthorizedUrl("/403");

        //拦截链配置
        Map<String, String> filterChainDefinitionMap = constructFilterChainDefinitionMap();
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        log.info("ShiroFilterFactoryBean注入成功!");
        return shiroFilterFactoryBean;
    }

    /**
     * 构造shiro过滤链配置
     * */
    private Map<String,String> constructFilterChainDefinitionMap(){
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
        //动态加载url权限配置,从数据库获取
        List<SysAccessPermissionTest> list = sysAccessPermissionServiceImpl.getAll();
        for (SysAccessPermissionTest item : list) {
            filterChainDefinitionMap.put(item.getUrl(),item.getRoles());
        }

        return filterChainDefinitionMap;
    }

}

定义ShrioFilter时需要注入sercurityManager，sercurityManager已经在applicationContext-sercurity.xml中配置好了，这里直接通过@Autowired注入进来并set到ShiroFilter。

开始是通用的一些配置，比如登录链接、登录成功后的链接以及未授权的链接。重点是过滤链的配置，这里将过滤链存在了数据库中，然后通过mybatis进行获取。

过滤链表结构

CREATE TABLE SYS_ACCESS_PERMISSION_TEST
(
  ID           VARCHAR2(32)                    NOT NULL,
  URL          VARCHAR2(50),
  ROLES        VARCHAR2(255),
  SORT         NUMBER,
  IS_DELETED   VARCHAR2(1)                     DEFAULT 0,
  CREATE_USER  VARCHAR2(50),
  CREATE_TIME  TIMESTAMP(6)                    DEFAULT SYSDATE,
  UPDATE_USER  VARCHAR2(50),
  UPDATE_TIME  TIMESTAMP(6)                    DEFAULT SYSDATE
)

ALTER TABLE SYS_ACCESS_PERMISSION_TEST ADD CONSTRAINT PK_PERMISSION PRIMARY KEY (ID)

COMMENT ON TABLE SYS_ACCESS_PERMISSION_TEST IS '访问权限表';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.URL IS '访问链接';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.ROLES IS '角色列表用,分割';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.SORT IS '排序号';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.IS_DELETED IS '是否删除';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.CREATE_USER IS '创建用户';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.CREATE_TIME IS '创建时间';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.UPDATE_USER IS '更新用户';

COMMENT ON COLUMN SYS_ACCESS_PERMISSION_TEST.UPDATE_TIME IS '更新时间';


最重要的就是url、roles和sort三个字段，shiro就是通过这三个东西配置过滤链。下面是数据库中的数据：

shiro过滤链匹配会根据顺序来，因此会有一个sort字段，查询的时候要根据sort进行一个升序排序。

SysAccessPermissionService

package com.xxx.demo.dataaccess.impl;

import com.xxx.demo.dataaccess.api.SysAccessPermissionService;
import com.xxx.demo.dataaccess.dao.SysAccessPermissionTestMapper;
import com.xxx.demo.dataaccess.model.SysAccessPermissionTest;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

import java.util.List;

/**
 * Created by gameloft9 on 2017/12/4.
 */
@Slf4j
@Service
public class SysAccessPermissionServiceImpl implements SysAccessPermissionService{

    @Autowired
    SysAccessPermissionTestMapper sysAccessPermissionTestDao;

    public List<SysAccessPermissionTest> getAll(){
        return sysAccessPermissionTestDao.selectAll();
    }


}


这个是纯mybatis的数据库访问了，就不多讲了。另外，如果动态更改了权限，比如通过页面配置新增或删除了权限，需要清空原有的过滤链配置，并重新设置，这里新增了一个专门处理类：

package com.gameloft9.demo.security;

import com.gameloft9.demo.service.api.system.SysAccessPermissionService;
import com.gameloft9.demo.dataaccess.model.system.SysAccessPermissionTest;
import lombok.extern.slf4j.Slf4j;
import org.apache.shiro.web.filter.mgt.DefaultFilterChainManager;
import org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver;
import org.apache.shiro.web.servlet.AbstractShiroFilter;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;
import org.springframework.web.context.support.WebApplicationContextUtils;

import javax.servlet.ServletContext;
import javax.servlet.http.HttpServletRequest;
import java.util.LinkedHashMap;
import java.util.List;
import java.util.Map;

/**
 * shiro 动态权限配置相关服务
 *
 * @author gameloft9
 */
@Service
@Slf4j
public class ShiroConfigService {

    @Autowired
    SysAccessPermissionService sysAccessPermissionServiceImpl;

    /**
     * 从数据库加载权限列表
     */
    public Map<String, String> loadFilterChainDefinitions() {
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
        List<SysAccessPermissionTest> list = sysAccessPermissionServiceImpl.getAll();
        for (SysAccessPermissionTest item : list) {
            filterChainDefinitionMap.put(item.getUrl(), item.getRoles());
        }
        return filterChainDefinitionMap;
    }

    /**
     * 更新权限,解决需要重启tomcat才能生效权限的问题
     */
    public void updatePermission() {
        try {
            HttpServletRequest request = ((ServletRequestAttributes) RequestContextHolder.getRequestAttributes()).getRequest();
            ServletContext servletContext = request.getSession().getServletContext();
            AbstractShiroFilter shiroFilter = (AbstractShiroFilter) WebApplicationContextUtils.getRequiredWebApplicationContext(servletContext).getBean("myShiroFilter");

            synchronized (shiroFilter) {
                // 获取过滤管理器
                PathMatchingFilterChainResolver filterChainResolver = (PathMatchingFilterChainResolver) shiroFilter.getFilterChainResolver();
                DefaultFilterChainManager manager = (DefaultFilterChainManager) filterChainResolver.getFilterChainManager();
                // 清空初始权限配置
                manager.getFilterChains().clear();
                // 重新获取资源
                Map<String, String> chains = loadFilterChainDefinitions();

                for (Map.Entry<String, String> entry : chains.entrySet()) {
                    String url = entry.getKey();
                    String chainDefinition = entry.getValue().trim().replace(" ", "");

                    manager.createChain(url, chainDefinition);
                }
                log.info("更新权限成功！！");
            }
        } catch (Exception e) {
            log.error("更新权限到shiro异常", e);
        }
    }
}

5、自定义ShiroRealm

用户通过subject.login()进行登录时，会自动转到ShiroRealm中的doGetAuthenticationInfo方法，从中获取用户的认证信息，并同登录提供的认证信息进行对比，以此来判断是否认证通过。授权则是根据过滤链的配置，对需要授权的访问链接，通过doGetAuthorizationInfo方法，获取用户授权信息，并进行授权验证。

package com.xxx.demo.security;

import com.xxx.demo.dataaccess.api.UserService;
import com.xxx.demo.dataaccess.model.UserTest;
import lombok.Data;
import lombok.extern.slf4j.Slf4j;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationException;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

import java.util.List;

/**
 * 认证授权。
 * @author gameloft9
 */
@Slf4j
@Data
public class ShiroRealm extends AuthorizingRealm {

	/**
	 * 通过setter注入,这里没有通过@Autowired注入
	 * */
	private UserService userServiceImpl;

	/**
	 * 获取授权信息方法，返回用户角色信息
	 * */
	@Override
	protected AuthorizationInfo doGetAuthorizationInfo(
			PrincipalCollection principals) {
		if (principals == null) {
			throw new AuthorizationException("PrincipalCollection method argument cannot be null.");
		}

		UserTest user = (UserTest) principals.getPrimaryPrincipal();
		SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
		if (user != null) {//获取用户角色信息
			List<String> roles = userServiceImpl.getRoleNames(user.getId());
			info.addRoles(roles);
		} else {
			SecurityUtils.getSubject().logout();
		}
		return info;
	}

	/**
	 * 重写回调认证方法，subject.login()调用后回调此方法，获取认证信息。
	 * 如果是与第三方用户系统集成，可在此处进行身份认证，成功后可构造一个同登录token一致的认证信息。
	 * 或者干脆跳过shiro的认证，自己实现认证逻辑，成功后将用户信息放入session、cookie.
	 * */
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(
			AuthenticationToken authcToken) throws AuthenticationException {
		UsernamePasswordToken token = (UsernamePasswordToken) authcToken;
		UserTest user = userServiceImpl.getByLoginName(token.getUsername());

		if (user == null) {//用户不存在
			throw new UnknownAccountException();
		}

		//构造一个用户认证信息并返回，后面会通过这个和token的pwd进行对比。
		return new SimpleAuthenticationInfo(user,user.getPassword(),user.getRealName());
	}
}


在doGetAuthenticationInfo中，我们从数据库获取用户信息(主要是密码)，然后构造一个用户认证信息并返回，之后shiro就会进行认证。相应的登录代码如下：

LoginController

 /**
     * 登录请求
     */
    @RequestMapping(value = "/login", method = RequestMethod.POST)
    public String login(Model model, String name, String pwd) {
        if(StringUtils.isBlank(name)||StringUtils.isBlank(pwd)){
           log.info("用户名和密码为空");
            model.addAttribute("errInfo", "用户名或密码不能为空!");
            return "login";
        }

        //当前用户
        Subject currentUser = SecurityUtils.getSubject();
        //获取基于用户名和密码的令牌(生产环境下密码需要转换为加密后的密码)
        UsernamePasswordToken token = new UsernamePasswordToken(name, pwd);
        try {
            //提交认证，会调用Realm的doGetAuthenticationInfo，进行认证
            currentUser.login(token);
        } catch(UnknownAccountException e){
            log.info("用户不存在");
            model.addAttribute("errInfo", "用户不存在！");
            return "login";
        }catch(IncorrectCredentialsException e){
            log.info("用户名或密码错误");
            model.addAttribute("errInfo", "用户名或密码错误！");
            return "login";
        }catch (AuthenticationException e) {
            log.error("认证异常",e);
            model.addAttribute("errInfo", "认证发生异常!请联系管理员。");
            return "login";
        }

        //验证是否通过
        if(currentUser.isAuthenticated()){
            //还可以把用户信息放入session中
            log.info("验证成功！");
            model.addAttribute("name", name);
            return "home";
        }

        log.info("用户名密码错误,name:{},pwd:{}",name,pwd);
        model.addAttribute("errInfo", "用户名或密码错误!");
        return "login";
    }


在登录代码中，我们构造了一个用户名密码的token，并传递给了subject.login()，shiro就把这个认证信息和后面获取到的认证信息进行对比。

 

授权认证时，我们在doGetAuthorizationInfo中，从数据库获取用户的角色列表，并以此构造一个授权信息返回，shiro就把这个授权信息和过滤链中的授权信息进行对比。角色表和用户角色表结构如下：

角色表

CREATE TABLE SYS_ROLE_TEST
(
  ID           VARCHAR2(32)                      NOT NULL,
  ROLE_NAME    VARCHAR2(50),
  IS_SUPER     VARCHAR2(1)                        DEFAULT 0,
  IS_DELETED   VARCHAR2(1)                        DEFAULT 0,
  CREATE_USER  VARCHAR2(50),
  CREATE_TIME  TIMESTAMP(6)                     DEFAULT SYSDATE,
  UPDATE_USER  VARCHAR2(50),
  UPDATE_TIME  TIMESTAMP(6)                     DEFAULT SYSDATE
)

ALTER TABLE SYS_ROLE_TEST ADD CONSTRAINT PK_ROLE PRIMARY KEY (ID)

COMMENT ON TABLE SYS_ROLE IS '角色表';

COMMENT ON COLUMN SYS_ROLE.ROLE_NAME IS '角色名';

COMMENT ON COLUMN SYS_ROLE.IS_SUPER IS '是否是超级管理员';

COMMENT ON COLUMN SYS_ROLE.IS_DELETED IS '是否删除';

COMMENT ON COLUMN SYS_ROLE.CREATE_USER IS '创建用户';

COMMENT ON COLUMN SYS_ROLE.CREATE_TIME IS '创建时间';

COMMENT ON COLUMN SYS_ROLE.UPDATE_USER IS '更新用户';

COMMENT ON COLUMN SYS_ROLE.UPDATE_TIME IS '更新时间';

数据库中数据

用户角色表

CREATE TABLE SYS_USER_ROLE_TEST
(
  ID       VARCHAR2(32)                    NOT NULL,
  USER_ID  VARCHAR2(32),
  ROLE_ID  VARCHAR2(32)
)

COMMENT ON TABLE SYS_USER_ROLE_TEST IS '用户角色表';
COMMENT ON COLUMN SYS_USER_ROLE_TEST.ID IS '主键';
COMMENT ON COLUMN SYS_USER_ROLE_TEST.USER_ID IS '用户ID';
COMMENT ON COLUMN SYS_USER_ROLE_TEST.ROLE_ID IS '角色ID';

ALTER TABLE SYS_USER_ROLE_TEST ADD CONSTRAINT PK_USER_ROLE PRIMARY KEY (ID)

数据库中数据

 

用户表结构请参考上一篇文章，这里仅给出表数据：

为了不增加复杂度，密码存的是明文，可以根据需要对明文进行加密存储，这个shiro也有提供，可自行百度。另外数据库访问相关的代码，这里就不贴了，可以去demo里面看。最后贴2个完整的controller。

LoginController

package com.xxx.demo.controllers;

import com.xxx.demo.dataaccess.api.UserService;
import lombok.extern.slf4j.Slf4j;
import org.apache.commons.lang3.StringUtils;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.bind.annotation.ResponseBody;

import javax.servlet.http.HttpServletResponse;

/**
 * Created by gameloft9 on 2017/11/27.
 */
@Slf4j
@Controller
public class LoginController {

   @Autowired
    UserService userServiceImpl;

    /**
     * 登录页面入口
     */
    @RequestMapping(value = "/index", method = RequestMethod.GET)
    public String index(Model model, HttpServletResponse response) {
        log.info("进入登录页面");
        return "login";
    }

    /**
     * 登录请求
     */
    @RequestMapping(value = "/login", method = RequestMethod.POST)
    public String login(Model model, String name, String pwd) {
        if(StringUtils.isBlank(name)||StringUtils.isBlank(pwd)){
           log.info("用户名和密码为空");
            model.addAttribute("errInfo", "用户名或密码不能为空!");
            return "login";
        }

        //当前用户
        Subject currentUser = SecurityUtils.getSubject();
        //获取基于用户名和密码的令牌(生产环境下密码需要转换为加密后的密码)
        UsernamePasswordToken token = new UsernamePasswordToken(name, pwd);
        try {
            //提交认证，会调用Realm的doGetAuthenticationInfo，进行认证
            currentUser.login(token);
        } catch(UnknownAccountException e){
            log.info("用户不存在");
            model.addAttribute("errInfo", "用户不存在！");
            return "login";
        }catch(IncorrectCredentialsException e){
            log.info("用户名或密码错误");
            model.addAttribute("errInfo", "用户名或密码错误！");
            return "login";
        }catch (AuthenticationException e) {
            log.error("认证异常",e);
            model.addAttribute("errInfo", "认证发生异常!请联系管理员。");
            return "login";
        }

        //验证是否通过
        if(currentUser.isAuthenticated()){
            //还可以把用户信息放入session中
            log.info("验证成功！");
            model.addAttribute("name", name);
            return "home";
        }

        log.info("用户名密码错误,name:{},pwd:{}",name,pwd);
        model.addAttribute("errInfo", "用户名或密码错误!");
        return "login";
    }

    /**
     * 登出
     * */
    @RequestMapping(value = "/logout.do", method = RequestMethod.GET)
    public String logout(){
        try{
            SecurityUtils.getSubject().logout();
        }catch (Exception e){
            log.info("登出异常",e);
        }

        log.info("登出成功");
        return "login";
    }

    /**
     * 未授权
     * */
    @RequestMapping(value = "/403", method = RequestMethod.GET)
    public String unauthorization(){
        return "403";
    }
}

SysRoleController

package com.xxx.demo.controllers;

import com.xxx.demo.dataaccess.api.SysRoleService;
import com.xxx.demo.dataaccess.model.SysRoleTest;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.bind.annotation.ResponseBody;

import java.util.List;

/**
 * Created by gameloft9 on 2017/12/4.
 */
@Controller
@Slf4j
@RequestMapping("/role")
public class SysRoleController {

    @Autowired
    SysRoleService sysRoleServiceImpl;

    /**
     * 获取所有角色列表
     * */
    @RequestMapping(value = "/roleList",method = RequestMethod.GET)
    @ResponseBody
    public String getRoleList(){
        return sysRoleServiceImpl.getAll().toString();
    }
}

三、运行结果

1、不存在的用户

2、密码错误

3、登录成功

4、在浏览器输入localhost:8080/demo/role/roleList访问角色列表

5、修改访问权限表，将/role/*角色权限从admin修改成别的

 

然后重起应用，登录后输入localhost:8080/demo/role/roleList访问角色列表

可以看到，未授权的访问转向了403。

 

github工程地址：https://github.com/gameloft9/spring-shiro-demo

CSDN下载地址：http://download.csdn.net/download/gameloft9/10145790

 

下一篇将写一个spring mvc通用基础框架，主要包括：统一返回处理、访问日志处理、异常处理、数据校验等等，为后面的前后端分离方案打下基础，敬请期待。

GAMELOFT9
关注
专栏目录
Spring MVC整合Shiro权限控制的方法
08-27
主要介绍了Spring MVC整合Shiro权限控制，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
SpringBoot整合Shiro，实现从数据库加载权限、权限的动态更新、Session共享
01-28
SpringBoot整合Shiro，实现从数据库加载权限、权限的动态更新、Session共享
SpringMVC集成shiro权限（附源码）
千寻啊千寻
04-26 4832
springMVC框架这里就不多说了，下面是在springMVC框架上面直接集成shiro代码步骤下面是我项目结构： 1、web.xml添加Shiro Filter<filter> <filter-name>shiroFilter</filter-name> <filter-class>org.springframework.web.filter.Delegatin
SpringMVC整合Shiro
wongwaidah的专栏
12-16 505
SpringMVC整合Shiro， Shiro是一个强大易用的Java安全框架,提供了认证、授权、加密和会话管理等功能。 第一步：配置web.xml --> shiroFilter org.springframework.web.filter.DelegatingFilterProxy tar
Spring + SpringMVC + Mybatis + Shiro 整合（下）
weixin_34293911的博客
08-27 137
为什么80%的码农都做不了架构师？>>> ...
spring mvc shiro的配置使用.zip_DEMO_spring mvc_spring mvc shiro
09-15
通过这个 "spring mvc shiro" 的 demo，开发者可以快速学习和理解这两个框架的集成过程，以及如何在实际项目中实现用户认证和权限控制。这个示例提供了从基础到实践的完整体验，对于提升开发者的技能和理解 Web 应用...
Spring MVC与Shiro整合实现权限控制教程
"Spring MVC整合Shiro权限控制的方法" 在现代Web开发中，权限控制是确保应用安全性的重要组成部分。Spring MVC作为流行的MVC框架，经常需要与安全框架集成以实现精细的权限管理。Apache Shiro是一个优秀的安全框架...
spring mvc整合shiro登录 权限验证实例下载
05-07
6. **会话管理**：Shiro的Session管理功能可以与Spring MVC的Session进行集成，实现会话数据的共享。 7. **异常处理**：配置Shiro的全局异常处理，当认证或授权失败时，可以返回相应的错误页面或者提示。 8. **...
spring-shiro:Spring Mvc 搭配shiro Demo
06-21
通过以上步骤，我们便成功地在Spring MVC应用中集成了Shiro，实现了用户认证、权限控制和会话管理等功能。这种整合方式既保留了Spring MVC的灵活性，又利用了Shiro的强大安全特性，是构建企业级Web应用的安全基础。 ...
spring mvc+shiro + jpa
04-26
5. **Spring MVC 整合**：Spring MVC 可以通过Spring的AOP（面向切面编程）和拦截器机制，方便地集成Shiro的过滤器，实现全局的权限控制。同时，Spring MVC 可以利用Spring Data JPA简化数据库操作，提高开发效率。 ...
Spring MVC+Shiro纯注解配置工程简单示例——Hello World
linzx0212的博客
07-18 445
工程结构：  Jar包   pom.xml &lt;project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://...
Shiro权限控制+整合shiro
热门推荐
Armymans的博客
03-02 1万+
Shiro权限控制 0.1传统的权限认证方式 特点：为每个人单独的分配权限模块，能够实现权限控制，但是当公司人员庞大之后，非常难管理 上述权限控制如何设计表？ 关系：员工和菜单权限的关系：多对多 员工id 菜单名称 1 取派管理 2 快递员管理 2 运单管理 好处：可以方便的 实现权限控制 缺陷：比如当修改权限的时候，公司统一的给组长级别的人 加一个“计算工资”权限，...
Shiro学习（3）shiroConfig配置类
m0_67403240的博客
08-24 1928
配置原理：对SecurityManager来说他管理了所有的Realm，通过这些代码获取了Realm管理信息。注意SecurityManager导包，是shiro的SecurityManager。可以直接创建CustonRealm这个对象，也可以通过Realm创建。在web程序中，shiro进行权限控制是通过一组过滤器集合进行的操作。3、通用配置（跳转登录页面，为授权跳转的页面）4、开启对shiro注解的支持。3、配置shiro过滤器工厂。
Springboot+SpringMVC+Myabtis整合shiro权限控制
qq_35272054的博客
07-28 978
最近也被这个难题搞的我头都大了额。写下此篇文章献给自己和广大朋友。如果有不懂的地方可以加企鹅号询问哦。 企鹅号：2054861587，不一定会时时在，但如果有空的话就会给你回答 maven依赖: &lt;dependency&gt; &lt;groupId&gt;org.apache.shiro&lt;/groupId&gt; &lt;artifactId&gt;shiro...
shiro 扩展之动态加载权限
longwuxin001的博客
05-09 4515
前面说了把各个角色和路径的拦截写在配置文件是很不利于复杂权限设置的,所以这次动态的来搞定它们.项目地址：https://github.com/thecattle/spring-mvc-shiro加载权限首先先看看这个配置是怎么加载进去的image.png调试的时候可以看到是在 shiro.xml 的配置的ShiroFilterFactoryBean的这个 bean 里的setFilterChain...
springboot整合shiro (一) ShiroConfig配置类编写
weixin_44415928的博客
06-07 3711
shiro实现用户登录认证需要三个核心api Subject 用户主体 SecurityManager 安全管理器 Realm 连接数据的桥梁 1. 导入shiro的maven依赖 导入shiro和spring整合的依赖 <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <
shiroConfig配置
m0_67400972的博客
04-07 910
安全管理器设置 /** * shiro 安全管理器设置 * @return SecurityManager */ @Bean public SecurityManager securityManager() { DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(); List<Realm> realms = new ArrayList<>( );
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值