在前后端分离的项目中，后台使用shiro框架时，怎样使用它的会话管理系统(session)，从而实现权限控制

在前后端分离的项目中，ajax跨域和保存用户信息是其中的重点和难点。

如果在后台使用shiro框架来进行权限控制，就需要用到cookie+session的模式来保存用户的信息。

在前一篇文章《在前后端分离的项目中，ajax跨域请求怎样附带cookie》中，我具体写了怎样在ajax跨域的情况下携带cookie，使用该方法使跨域请求携带cookie便可以在前后端分离的项目中使用shrio的session（会话管理系统）。

但是由于那种方法近乎与取巧的将Access-Control-Allow-Origin由*改为"null"不是所有的前端ajax框架所公认的，我们需要一种更好的模式来使用session。

在传统的前后端分离模式中，我们通常是在请求头中增加一个请求头Authorization，它的值是一串加密的信息或者密钥，在后台通过对这个请求头值的读取，获取用户的信息。

而在这样的模式中，通常都是开发者自己设计的session或者加密方式来读取和保存用户信息，而在shiro中，集成了权限控制和用户管理在它的session系统中，这就意味着我们只能通过他所规定的session+cookie来保存用户信息，在这种情况下，该以什么方式在前后端分离的项目中使用shiro？

通过资料的查询，和对shiro设计模式的解读，我发现shiro和servlet一样实在cookie中存储一个session会话的id然后在每次请求中读取该session的id并获取session，这样就可以获取指定session中储存的用户信息。

我的想法就是通过重写shiro中获取cookie中的sessionId的方法来获取请求头Authorization中的密钥，而密钥储存的便是登录是返回的sessionId，从而实现在前后端分离的项目中使用shiro框架。

接下来就是代码演示（使用SpringMVC+Shiro），只贴出核心代码：

首先是登录的代码：

    @ResponseBody
    @RequestMapping(value = "/login", method = RequestMethod.POST, produces = "application/json;charset=utf-8")
    public String login(
            @RequestParam(required = false) String username,
            @RequestParam(required = false) String password
    ) {

        JSONObject jsonObject = new JSONObject();

        Subject subject = SecurityUtils.getSubject();

        password = MD5Tools.MD5(