Shiro快速入门 —— 5.授权

shiro授权的操作主要分为两个步骤

1、匹配登录用户的角色，并将权限赋予当前用户所创建的Subject。

2、访问某一资源时，从当前用户Subject中取得权限并验证是否可以访问这个资源。

权限管理

shiro本身并不提供权限管理的机制，权限的管理需要我们自己进行维护。常见的做法是在数据库创建用户、角色和权限表进行管理。数据结构类似于下图

权限的标识符（代码中匹配权限的字符串）理论上可以自由定义，但是一般情况我们会赋予含义。

例如：“company_add“或“company：add”。前面代表模块后面代表功能。

赋予权限

当一个用户成功登陆后，我们会先取得用户的userId，然后去数据库中找到对应的角色以及下面的所有权限。最后将这些权限存入当前用户的权限信息中，以便访问资源时使用这些权限进行比对。

赋予权限时我们要继承AuthorizingRealm类，并实现doGetAuthorizationInfo抽象方法。

/**
 * 授权
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
   
    //获取当前登录用户的信息（登录认证时取得的）
    Principal principal = (Principal) principals.getPrimaryPrincipal();
    //使用登录信息中存入的userId获取当前用户所有权限
    List<String> authorities = getAuthority(principal.getUserId