Shiro授权 Shiro支持三种方式的授权: 1.编程式:通过编写if/else授权代码块的方式完成(不推荐) 2.注解式:通过在controller方法上面注解完成(用的较多) 3.JSP标签:在页面上面完成(可以隐藏无权限的东西) Shiro授权过程: 1. 授权需要继承 AuthorizingRealm 类, 并实现其 doGetAuthorizationInfo 方法 2. AuthorizingRealm 类继承自 AuthenticatingRealm, 但没有实现 AuthenticatingRealm 中的 doGetAuthenticationInfo, 所以认证和授权只需要继承 AuthorizingRealm 就可以了. 同时实现他的两个抽象方法. Shiro权限注解: @RequiresAuthentication:表示当前的subject已经通过login进行了身份验证,即subject.isAuthenticated()返回true @RequiresUser:表示当前subject已经通过身份验证或者通过记住我登录的 @RequiresGuest:表示游客身份 @RequiresRoles(value="admin","user",logical=Logical.AND):表示当前subject需要admin和user两个角色 @RequiresPermissions(value="user:a","user:b",logical=Logical.OR):表示当前subject需要权限a或者b 可以通过实例工厂的方式注入权限资源,实现数据库配置 Shiro会话 【重点】 Controller里面的httpSession一般情况下我们不允许其他层能访问到 但是有了shiro,shiro支持在任何地方获得session,这是一个很重要的应用 Shiro会话验证 Shiro提供会话验证调度器 SessionDAO 实现对session的增删改查(放入数据库) create table sessions( id varchar(200); session varchar(2000); constraint pk_sessions primary key(id); )charset=utf8 engine=InnoDB 继承EnterpriseCacheSessionDAO protected Serializable doCreate(Session session) { Serializable sessionId = generateSessionId(session); assignSessionId(session, sessionId); return sessionId; } protected Session doReadSession(Serializable sessionId) {return null;} protected void doUpdate(Session session) {} protected void doDelete(Session session) {} 写和读session时候需要对Session进行序列化和反序列化操作(因为存入数据库的session是个对象,而不是字段) 做法: 利用对象输入输出流进行读写,而对象输入输出流需要包装字节输入输出流
Shiro授权详细解析
最新推荐文章于 2021-01-17 12:28:51 发布