3.1shiro的权限解析配置及其说明

shiro的权限解析配置及其说明

1.流程

1.调用 Subject.isPermitted*/hasRole*接口，其会委托给 SecurityManager，而 SecurityManager 接着会委托给 Authorizer；
2.Authorizer 是真正的授权者，会通过 PermissionResolver 把字符串转换成相应的 Permission 实例；在进行授权之前，其会调用相应的 Realm 获取 Subject 相应的角色/权限用于匹配传入的角色/权限；
3.Authorizer 会判断 Realm 的角色/权限是否和传入的匹配，如果有多个 Realm，会委托给 ModularRealmAuthorizer 进行循环判断，如果匹配如 isPermitted*/hasRole* 会返回 true，否则返回 false 表示授权失败。

一.ModularRealmAuthorizer 进行多 Realm 匹配流程时：
首先检查相应的 Realm 是否实现了实现了 Authorizer；
如果实现了 Authorizer，那么接着调用其相应的 isPermitted*/hasRole* 接口进行匹配；如果有一个 Realm 匹配那么将返回 true，否则返回 false。

二.如果 Realm 进行授权的话，应该继承 AuthorizingRealm，其流程是：
如果调用 hasRole*，则直接获取 AuthorizationInfo.getRoles() 与传入的角色比较即可；首先如果调用如 isPermitted(“user:view”)，首先通过 PermissionResolver 将权限字符串转换成相应的 Permission 实例，默认使用 WildcardPermissionResolver，即转换为通配符的 WildcardPermission；
通过 AuthorizationInfo.getObjectPermissions() 得到 Permission 实例集合；通过 AuthorizationInfo.getStringPermissions() 得到字符串集合并通过 PermissionResolver 解析为 Permission 实例；然后获取用户的角色，并通过 RolePermissionResolver 解析角色对应的权限集合（默认没有实现，可以自己提供）；
接着调用 Permission.implies(Permission p) 逐个与传入的权限比较，如果有匹配的则返回 true，否则 false。

2.Authorizer、PermissionResolver及RolePermissionResolver

1.PermissionResolver 用于解析权限字符串到 Permission 实例，而 RolePermissionResolver 用于根据角色解析相应的权限集合。

可以根据自己的需要配置解析方式。

2.自定义解析方式

shiro.ini文件

[main]
#自定义authorizer(多个realme解析)
authorizer=org.apache.shiro.authz.ModularRealmAuthorizer
#自定义permissionResolver
#permissionResolver=org.apache.shiro.authz.permission.WildcardPermissionResolver
permissionResolver=com.github.shiro.permission.MyPermissionResolver
authorizer.permissionResolver=$permissionResolver
#自定义rolePermissionResolver
rolePermissionResolver=com.github.shiro.permission.MyRolePermissionResolver
authorizer.rolePermissionResolver=$rolePermissionResolver

securityManager.authorizer=$authorizer

1.继承Permission接口并重写
boolean implies(Permission p);

2.继承PermissionResolver并重写
Permission resolvePermission(String permissionString);
3.继承RolePermissionResolver
Collection resolvePermissionsInRole(String roleString);