shiro授权的操作主要分为两个步骤
1、匹配登录用户的角色,并将权限赋予当前用户所创建的Subject。
2、访问某一资源时,从当前用户Subject中取得权限并验证是否可以访问这个资源。
权限管理
shiro本身并不提供权限管理的机制,权限的管理需要我们自己进行维护。常见的做法是在数据库创建用户、角色和权限表进行管理。数据结构类似于下图
权限的标识符(代码中匹配权限的字符串)理论上可以自由定义,但是一般情况我们会赋予含义。
例如:“company_add“或“company:add”。前面代表模块后面代表功能。
赋予权限
当一个用户成功登陆后,我们会先取得用户的userId,然后去数据库中找到对应的角色以及下面的所有权限。最后将这些权限存入当前用户的权限信息中,以便访问资源时使用这些权限进行比对。
赋予权限时我们要继承AuthorizingRealm类,并实现doGetAuthorizationInfo抽象方法。
/**
* 授权
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
//获取当前登录用户的信息(登录认证时取得的)
Principal principal = (Principal) principals.getPrimaryPrincipal();
//使用登录信息中存入的userId获取当前用户所有权限
List<String> authorities = getAuthority(principal.getUserId