这篇文章给大家介绍Springboot整合Shiro中怎样进行权限管理，内容非常详细，感兴趣的小伙伴们可以参考借鉴，希望对大家能有所帮助。
公司主营业务：成都网站设计、成都做网站、移动网站开发等业务。帮助企业客户真正实现互联网宣传，提高企业的竞争能力。创新互联建站是一支青春激扬、勤奋敬业、活力青春激扬、勤奋敬业、活力澎湃、和谐高效的团队。公司秉承以“开放、自由、严谨、自律”为核心的企业文化，感谢他们对我们的高要求，感谢他们从不同领域给我们带来的挑战，让我们激情的团队有机会用头脑与智慧不断的给客户带来惊喜。创新互联建站推出和林格尔免费做网站回馈大家。
Shiro的授权流程跟认证流程类似：
创建SecurityManager安全管理器
Subject主体带授权信息执行授权，请求到SecurityManager
SecurityManager安全管理器调用Authorizer授权
Authorizer结合主体一步步传过来的授权信息与Realm中的数据比对，授权
（1）我们已经在ShiroConfig配置类中配置好了SecurityManager安全管理器
/**
* 配置Shiro核心 安全管理器 SecurityManager
* SecurityManager安全管理器：所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；负责与后边介绍的其他组件进行交互。（类似于SpringMVC中的DispatcherServlet控制器）
*/
@Bean
public SecurityManager securityManager(){
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
//将自定义的realm交给SecurityManager管理
securityManager.setRealm(new CustomRealm());
return securityManager;
}（2）下面对自定义Realm类CustomRealm中的授权方法doGetAuthorizationInfo进行重写
@Override
/**
* 授权
*/
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal) {
//获取当前登录的用户
User user = (User) principal.getPrimaryPrincipal();
//通过SimpleAuthenticationInfo做授权
SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
//添加角色
simpleAuthorizationInfo.addRole(user.getRole());
//添加权限
simpleAuthorizationInfo.addStringPermissions(user.getPermissions());
return simpleAuthorizationInfo;
}上面主要通过SimpleAuthorizationInfo中的addRole和addStringPermissions添加当前用户拥有的角色和权限，与主体的授权信息进行比对。
（3）主体调用授权请求
主体进行授权请求有两种方式，一种是编程式，一种是注解式。
①编程式：通过Subject的hasRole()进行角色的校检，通过isPermitted()进行权限的校检
@GetMapping("/dog")
public String dog(){
Subject subject = SecurityUtils.getSubject();
if(subject.hasRole("dog")){
return "dog√";
}
else {
return "dog×";
}
}
@GetMapping("/cat")
public String cat(){
Subject subject = SecurityUtils.getSubject();
if(subject.hasRole("cat")){
return "cat√";
}
else {
return "cat×";
}
}
@GetMapping("/rap")
public String rap(){
Subject subject = SecurityUtils.getSubject();
if(subject.isPermitted("rap")){
return "rap";
}else{
return "没权限你Rap个锤子啊!";
}模拟用户数据如下：
/**
* 模拟数据库数据
* @return
*/
private List getUsers(){
List users = new ArrayList<>(2);
List cat = new ArrayList<>(3);
cat.add("sing");
cat.add("rap");
List dog = new ArrayList<>(3);
dog.add("jump");
dog.add("basketball");
users.add(new User("张小黑的猫","123qwe",true,"cat",cat));
users.add(new User("张小黑的狗","123qwe",true,"dog",dog));
return users;
}
测试结果如图：
authorization.gif
②注解式：
首先需要开启Aop注解,在ShiroConfig类中新增如下方法：
/**
* 开启aop注解支持
* 即在controller中使用 @RequiresPermissions("user/userList")
*/
@Bean
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager){
AuthorizationAttributeSourceAdvisor attributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();
//设置安全管理器
attributeSourceAdvisor.setSecurityManager(securityManager);
return attributeSourceAdvisor;
}
@Bean
@ConditionalOnMissingBean
public DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {
DefaultAdvisorAutoProxyCreator defaultAAP = new DefaultAdvisorAutoProxyCreator();
defaultAAP.setProxyTargetClass(true);
return defaultAAP;
}对于未授权的用户需要进行友好的提示，一般返回特定的403页面，在ShiroConfig类中新增如下方法实现：
/**
* 处理未授权的异常，返回自定义的错误页面（403）
* @return
*/
@Bean
public SimpleMappingExceptionResolver simpleMappingExceptionResolver() {
SimpleMappingExceptionResolver resolver = new SimpleMappingExceptionResolver();
Properties properties = new Properties();
/*未授权处理页*/
properties.setProperty("UnauthorizedException", "403.html");
resolver.setExceptionMappings(properties);
return resolver;
}解释下上面的代码properties.setProperty("UnauthorizedException","403.html");用来对抓取到UnauthorizedException未授权异常进行处理，重定向到403.html页面。我们需要创建403页面403.html
未授权
403,您没有访问权限
