shiro权限定义的三种方法
1.在配置文件中定义
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"> <property name="securityManager" ref="securityManager"/> <property name="loginUrl" value="/index.jsp" /> <!-- 没有认证返回地址 --> <property name="unauthorizedUrl" value="/index2.jsp" /> <!-- 没有授权返回地址 --> <property name="filterChainDefinitions"> <value> <!-- **代表任意子目录 --> /login/** = anon /user/** = authc,roles[admin] /test/** = authc,perms[测试用的lkkk] </value> </property> </bean>
2.在数据库中定义
<bean id="chainDefinitionSectionMetaSource" class="com.fyh.www.shiro.ChainDefinitionSectionMetaSource"> <property name="filterChainDefinitions"> <!-- 定义默认的url权限 --> <value> /login/** = anon </value> </property> </bean> <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"> <property name="securityManager" ref="securityManager"/> <property name="loginUrl" value="/index.jsp" /> <!-- 没有认证返回地址 --> <property name="unauthorizedUrl" value="/index2.jsp" /> <!-- 没有授权返回地址 --> <property name="filterChainDefinitionMap" ref="chainDefinitionSectionMetaSource"/> </bean>
Resource.java(数据库对应的pojo)
public class Resource implements Serializable { /** * id */ private Integer id; /** * url */ private String value; /** * 所需权限 */ private String permission;
//-----------------------getter/setter方法---------------------------//
ChainDefinitionSectionMetaSource.java(加载pojo)
} public class ChainDefinitionSectionMetaSource implements FactoryBean<Ini.Section> { @Autowired private ResourceDao resourceDao; private String filterChainDefinitions; /** * 默认premission 字符串格式模板 */ public static final String PREMISSION_STRING="perms[\"{0}\"]"; @Override public Section getObject() throws Exception { //获取所有Resource List<Resource> list = resourceDao.getAll(); Ini ini = new Ini(); //加载默认的url ini.load(filterChainDefinitions); Ini.Section section = ini.getSection(Ini.DEFAULT_SECTION_NAME); //循环Resource 的url,逐个添加到section 中。section 就是filterChainDefinitionMap, //里面的键就是链接URL,值就是存在什么条件才能访问该链接 for (Iterator<Resource> it = list.iterator(); it.hasNext();) { Resource resource = it.next(); //如果不为空值添加到section 中 if(StringUtils.isNotEmpty(resource.getValue()) && StringUtils.isNotEmpty(resource.getPermission())) { section.put(resource.getValue(),MessageFormat.format(PREMISSION_STRING,resource.getPermission())); } } return section; } /** * 通过filterChainDefinitions 对默认的url 过滤定义 * * * @param filterChainDefinitions 默认的url 过滤定义 * */ public void setFilterChainDefinitions(String filterChainDefinitions) { this.filterChainDefinitions = filterChainDefinitions; } @Override public Class<?> getObjectType() { // TODO Auto-generated method stub return null; } @Override public boolean isSingleton() { // TODO Auto-generated method stub return false; } }
dao接口
@Repository public interface ResourceDao { public List<Resource> getAll(); }
<?xml version="1.0" encoding="UTF-8" ?> <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd" > <mapper namespace="com.fyh.www.dao.shiro.ResourceDao" > <resultMap id="BaseResultMap" type="com.fyh.www.pojo.shiro.Resource" > <id column="id" property="id" jdbcType="INTEGER" /> <result column="value" property="value" jdbcType="VARCHAR" /> <result column="permission" property="permission" jdbcType="VARCHAR" /> </resultMap> <select id="getAll" resultMap="BaseResultMap" > select id,value,permission from TB_RESOURCE </select> </mapper>
数据库结构
3.在注解上定义
开启注解(添加如下配置文件)
<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"> </bean> <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"> <property name="securityManager" ref="securityManager"/> </bean>
@Controller @RequestMapping(value = "/test") public class TestController { @RequestMapping(value = "/test.action") public String test(Model model) { return SysContant.FRONT_PAGE+"NewFile1"; } @RequestMapping("/test2") @RequiresPermissions("account:create") public String testAnnotation(){ return SysContant.FRONT_PAGE+"NewFile1"; } }
可是为什么不生效呢，今天我就来说说这事儿。
我们知道Shiro的注解授权是利有Spring的AOP实现的。在程序启动时会自动扫描作了注解的Class，当发现注解时，就自动注入授权代码实现。也就是说，要注入授权控制代码，第一处必须要让框架要可以扫描找被注解的Class 。
applicationContext.xml一般配置注解扫描将@controller注解拉入黑名单
<context:component-scan base-package="com.fyh.www" >
<context:exclude-filter type="annotation" expression="org.springframework.stereotype.Controller"/>
</context:component-scan>
apringmvc.xml中配置注解扫描一般只扫描@controller注解
<context:component-scan base-package="com.fyh.www.controller" use-default-filters="false"> <context:include-filter type="annotation" expression="org.springframework.stereotype.Controller"/> </context:component-scan>
而我们的Srping项目在ApplicationContext.xml中一般是不扫描Controller的，所以也就无法让写在Controller中的注解授权生效了。因此正确的作法是将这配置放到springmvc的配置文件中.这样Controller就可以通过注解授权了。
不过问题来了，通过上面的配置Controller是可以通过注解授权了，但是Services中依然不能通过注解授权。虽然说，如果我们在Controller控制了授权，那么对于内部调用的Service层就可以不再作授权，
但也有例外的情况，比如Service除了给内部Controller层调用，还要供远程SOAP调用，那么就需要对Service进行授权控制了。同时要控制Controller和Service，那么采用相同的方式，我们可以在ApplicationContext.xml中配置类同的配置，以达到相同的效果。
applicationContext.xml中的配置为:
<bean id="serviceAdvisorAutoProxyCreator" class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"/>
<bean id="serviceAuthorizationAttributeSourceAdvisor" class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"> <property name="securityManager" ref="securityManager"/> </bean>
apringmvc.xml中的配置为:
<bean id="controllerAdvisorAutoProxyCreator" class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
<bean id="controllerAuthorizationAttributeSourceAdvisor" class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"> <property name="securityManager" ref="securityManager"/> </bean>
此时，我们在同一个项目中配置了两个，DefaultAdvisorAutoProxyCreator 和AuthorizationAttributeSourceAdvisor.需要给它们指定不同的ID。
