Shiro的配置文件.xml

一、权限控制：两种说法
比如anon拦截器表示匿名访问（即不需要登录即可访问）；
authc拦截器表示需要身份认证通过后才能访问；
roles[admin]拦截器表示需要有admin角色授权才能访问；
而perms[“user:create”]拦截器表示需要有“user:create”权限才能访问。

1、authc 表示需要认证的链接

2、perms[/url] 表示该链接需要拥有对应的资源/权限才能访问

3、roles[admin] 表示需要对应的角色才能访问

4、perms[admin:url] 表示需要对应角色的资源才能访问

二、url模式使用Ant风格模式
Ant路径通配符支持?、、*，注意通配符匹配不包括目录分隔符“/”：
?：匹配一个字符，如”/admin?”将匹配/admin1，但不匹配/admin或/admin2；
*：匹配零个或多个字符串，如/admin将匹配/admin、/admin123，但不匹配/admin/1；
**：匹配路径中的零个或多个路径，如/admin/将匹配/admin/a或/admin/a/b。

url模式匹配顺序
url模式匹配顺序是按照在配置中的声明顺序匹配，即从头开始使用第一个匹配的url模式对应的拦截器链。
如：

/bb/**=filter1  
/bb/aa=filter2  
/**=filter3  

如果请求的url是“/bb/aa”，因为按照声明顺序进行匹配，那么将使用filter1进行拦截。

三、

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
        <property name="securityManager" ref="securityManager" />  
        <property name="loginUrl" value="/toLogin" />  
        <property name="successUrl" value="/home" />  
        <property name="unauthorizedUrl" value="/403" />  

        <property name="filterChainDefinitions">  
            <value>  
                /toLogin = authc <!-- authc 表示需要认证才能访问的页面 -->  
                /home = authc, perms[/home]  <!-- perms 表示需要该权限才能访问的页面 -->  
            </value>  
        </property>  
    </bean> 

loginUrl 用于配置登陆页

successUrl 用于配置登录成功后返回的页面，不过该参数只会在当登录页面中并没有任何返回页面时才会生效，否则会跳转到登录Controller中的指定页面。

unauthorizedUrl 用于配置没有权限访问页面时跳转的页面

补充：

三、Shiro 的默认Filter 对应的类

Filter名称 类路径（点击可以进入官方介绍，强烈建议看看 ）
anon org.apache.shiro.web.filter.authc.AnonymousFilter
authc org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
logout org.apache.shiro.web.filter.authc.LogoutFilter
noSessionCreation org.apache.shiro.web.filter.session.NoSessionCreationFilter
perms org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port org.apache.shiro.web.filter.authz.PortFilter
rest org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl org.apache.shiro.web.filter.authz.SslFilter
user org.apache.shiro.web.filter.authc.UserFilter

anon:例子/admins/**=anon 没有参数，表示可以匿名使用。
authc:例如/admins/user/**=authc表示需要认证(登录)才能使用，没有参数。
authcBasic：例如/admins/user/**=authcBasic没有参数表示httpBasic认证。
roles： 例子/admins/user/=roles[admin],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，当有多个参数时，例如 admins/user/=roles[“admin,guest”],每个参数通过才算通过，相当于hasAllRoles()方法。
perms： 例子/admins/user/=perms[user:add:],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，例如 /admins/user/=perms[“user:add:,user:modify:*”]，当有多个参数时必须每个参数都通过才通过，想当 于isPermitedAll()方法。
rest：例子/admins/user/=rest[user],根据请求的方法，相当于/admins/user/=perms[user:method] ,其中method为post，get，delete等。
port： 例子/admins/user/**=port[8081],当请求的url的端口不是8081是跳转到schemal: //serverName:8081?queryString,其中schmal是协议http或https等，serverName是你访问的 host,8081是url配置里port的端口，queryString是你访问的url里的？后面的参数。
ssl:例子/admins/user/**=ssl没有参数，表示安全的url请求，协议为https
user:例如/admins/user/**=user没有参数表示必须存在用户，当登入操作时不做检查

注：这些过滤器中anon，authcBasic，auchc，user是认证过滤器，perms，roles，ssl，rest，port是授权过滤器
至此配置工作已完成。