Apache Shiro授权流程

授权流程

1.首先调用Subject.isPermitted/hasRole接口，其会委托给SecurityManager，而 SecurityManager 接着会委托给 Authorizer。
2.Authorizer是真正的授权者，如果调用如isPermitted(“user:view”)，其首先会通过PermissionResolver 把字符串转换成相应的 Permission 实例。
3.在进行授权之前，其会调用相应的 Realm 获取 Subject 相应的角色/权限用于匹配传入的角色/权限。
4.Authorizer 会判断 Realm 的角色/权限是否和传入的匹配，如果有多个Realm，会委托给 ModularRealmAuthorizer 进行循环判断，如果匹配如 isPermitted/hasRole 会返回true，否则返回false表示授权失败。

ModularRealmAuthorizer进行多Realm匹配流程

1.首先检查相应的 Realm 是否实现了实现了Authorizer。
2.如果实现了 Authorizer，那么接着调用其相应的isPermitted/hasRole接口进行匹配。
3.如果有一个Realm匹配那么将返回 true，否则返回 false。