shiro中AuthorizingRealm接口的doGetAuthorizationInfo 与doGetAuthenticationInfo什么时候调用

这两个方法虽然名字很像，但是意义是不一样的，doGetAuthorizationInfo方法是进行权限验证，doGetAuthenticationInfo是进行身份验证的(登录验证)，相信很多初学者对于这两个方法的调用时机可能不太明白，今天楼主搞了一下午的测试大致明白这两个方法的调用时机。

1.doGetAuthorizationInfo方法

    该方法主要是用于当前登录用户授权(作者小白插一句：我实现该方法时只是进行了当前登录用户的角色与权限初始化，至于授权判断估计shiro帮我们做了)

    1.调用SecurityUtils.getSubject().isPermitted(String str)方法时会调用doGetAuthorizationInfo方法，SecurityUtils.getSubject().isPermitted(String str)方法返回的是boolean值所以开发者得自定义业务逻辑。

    2.在配置文件中配置有类似/**=roles["user"]或者/**=perms[“user”]（/**路径是开发者自行定义）的配置的时候会调用doGetAuthorizationInfo方法，这个时候有两种情况：

       一、 当当前没有用户登录时shiro会帮我们跳转到login.jsp（默认会找根目录下的login.jsp）

       二、当前有登录用户时shiro会自动判定当前登录用户的角色或者权限符合访问当前访问路径，如果不符合那么将跳转到开  

            发者所配置的未授权提示页面（ <property name="unauthorizedUrl" value="/unauthorized.jsp"/>），这种调用情

            下doGetAuthorizationInfo方法只会被调用一次，除非更换了当前登录用户。

2.doGetAuthenticationInfo方法

    该方法是进行用户验证的

    1.调用currUser.login(token)方法时会调用doGetAuthenticationInfo方法，作者小白重写该方法的主要内容是根据提交的用户名与密码到数据库进行匹配，如果匹配到了就返回一个AuthenticationInfo对象否则返回null，同样shiro会帮我们进行判断当返回null的时候会抛出一个异常，开发者可根据该异常进行相应的逻辑处理

作者小白也是shiro的初学习者，写该文章的主要目的也是想跟大家共同学习，共同进步，该文章有什么不足的地方还请大家多多指出，活到老，学到老。