Shiro安全框架09：springboot整合shiro实现动态授权（继上一篇）

灰太狼 2022-01-10 06:53 277阅读 0赞

**目的：前端登录认证后可以进行相关的功能操作，具备访问权限的可访问，否则不可访问**

# 第一步：前端代码 #

用于登录认证，这里就是上一篇的功能实现

点击相应的连接进入相应的模块，不过应该要具有相应的权限

进入用户添加功能：<a href="/add">用户添加</a>
    进入用户更新功能：<a href="/update">用户更新</a>

# 第二步：shiroconfig配置类 #

我在配置中添加了一个授权过滤器，

//授权过滤器
            filterMap.put("/add","perms[user:add]");

如上，这表示，对于这个连接请求，只有再具有user:add这个权限后才可以访问

@Configuration
    public class ShiroConfig {
    
        /**
         * 创建shiroFilterFactoryBean
         */
        @Bean
        public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("defaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager){
            ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
            //设置安全管理器
            shiroFilterFactoryBean.setSecurityManager(defaultWebSecurityManager);
            /**
             * shiro内置过滤器
             * anon：无需认证（登录）就可以访问
             * authc：必须认证才可以访问
             * user：如哦使用了rememberMe的功能可以直接访问
             * perms：该资源必须得到资源权限才可以访问
             * role：该资源必须得到相应的角色权限才可以访问
             */
            LinkedHashMap<String, String> filterMap = new LinkedHashMap<>();
    
            filterMap.put("/login","anon");
            filterMap.put("/login.html","anon");
    
            //授权过滤器
            filterMap.put("/add","perms[user:add]");
    
    
            filterMap.put("/*","authc");
    
            //使用通配的方式设置某一个目录的访问级别
           /* filterMap.put("/templates","authc");*/
    
            //设置访问被拦截过后的跳转页面
            shiroFilterFactoryBean.setLoginUrl("/myError");
            //设置未授权提示页面
            shiroFilterFactoryBean.setUnauthorizedUrl("/unauthorized");
            shiroFilterFactoryBean.setFilterChainDefinitionMap(filterMap);
    
            return shiroFilterFactoryBean;
        }
    
    
        /**
         * 创建defaultWebSecurityManageer
         */
        @Bean(value = "defaultWebSecurityManager")
        public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
            DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
            //关联我们创建的realm
            securityManager.setRealm(userRealm);
    
            return securityManager;
        }
    
    
        /**
         * 创建realm
         */
        @Bean(value = "userRealm")
        public UserRealm getRealm(){
            return new UserRealm();
        }
    }

# 第三步：自定义realm进行授权控制 #

public class UserRealm extends AuthorizingRealm {
    
        @Autowired
        UserService userService;
    
        /**
         * 认证
         * @param authenticationToken 令牌
         * @return 用户信息
         * @throws
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
            UsernamePasswordToken token = (UsernamePasswordToken)authenticationToken;
            //从数据库中取出用户
            User user = userService.getUserByName(token.getUsername());
            System.out.println(user);
            //判断用户名是否存在
            if (user !=null){
                if (!token.getUsername().equals(user.getUserName())){
                    //用户名不存在
                    return null;
                }
    
                //判断密码
                return new SimpleAuthenticationInfo(user,user.getUserPassword(),"");
            }else {
                return null;
            }
    
    
        }
    
        /**
         * 授权
         * @param principalCollection
         * @return
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            /*添加授权信息
            从数据库中查询并确认用户*/
    
            //获取主体，这个是当时认真的时候传过来的
            Subject subject = SecurityUtils.getSubject();
            //对主体进行类型转换
            User user = (User)subject.getPrincipal();
            //通过认证时候的用户名查询到相关用户，并从数据库中查询用户的所有数据
            User user1 = userService.getUserByName(user.getUserName());
            //将查询出来的用户所具有的权限用来对用户进行授权
            info.addStringPermission(user1.getUserPerms());
    
            return info;
        }
    }

观察下面的授权模块，这里是从数据库中查询出用户所具有的权限，然后对用户进行授权

**总结：到这里就已经完成了对用户的动态授权，对于/add这个请求，如果用户没有得到相应的权限就无法访问该地址**