使用Apache shiro进行权限管理时如何对同一个URL配置多个角色的或关系
2014-07-18 14:18
1121 查看
在开发web应用时,通常会对一个用户分配某个角色。该角色拥有一定的权限,那么需要进行
权限管理。在进行权限管理的时候,常常会遇到不同角色的用户访问相同URL的情况。如果只有部
分角色访问该URL,那么需要限制只有这些角色才可以访问该URL。
在这种情况下,涉及的是角色之间的或关系的管理。因为一般情况下,一个用户通常只有一个
角色。shiro的过滤中有个RolesAuthorizationFilter过滤器,对应的过滤器名为roles。当配置如
roles["admin,test"]时,表示的是当前用户角色必须既是admin,也是test。也就是说该过滤器的角色
控制是且的关系。若要实现或的关系,可以自己实现一个过滤器,实现或逻辑。
实现方式很简单,实现AuthorizationFilter类就行了。实现如下
通过Spring框架将该过滤器添加到shiro权限管理中
此时当当前用户的角色为comm或test时,有权访问/user!query.action,若既不是comm,也不是
test,则无权访问/user!query.action。
权限管理。在进行权限管理的时候,常常会遇到不同角色的用户访问相同URL的情况。如果只有部
分角色访问该URL,那么需要限制只有这些角色才可以访问该URL。
在这种情况下,涉及的是角色之间的或关系的管理。因为一般情况下,一个用户通常只有一个
角色。shiro的过滤中有个RolesAuthorizationFilter过滤器,对应的过滤器名为roles。当配置如
roles["admin,test"]时,表示的是当前用户角色必须既是admin,也是test。也就是说该过滤器的角色
控制是且的关系。若要实现或的关系,可以自己实现一个过滤器,实现或逻辑。
实现方式很简单,实现AuthorizationFilter类就行了。实现如下
<span style="font-size:14px;">import javax.servlet.ServletRequest; import javax.servlet.ServletResponse; import org.apache.shiro.subject.Subject; import org.apache.shiro.web.filter.authz.AuthorizationFilter; // AuthorizationFilter抽象类事项了javax.servlet.Filter接口,它是个过滤器。 public class CustomRolesAuthorizationFilter extends AuthorizationFilter { @Override protected boolean isAccessAllowed(ServletRequest req, ServletResponse resp, Object mappedValue) throws Exception { Subject subject = getSubject(req, resp); String[] rolesArray = (String[]) mappedValue; if (rolesArray == null || rolesArray.length == 0) { //没有角色限制,有权限访问 return true; } for (int i = 0; i < rolesArray.length; i++) { if (subject.hasRole(rolesArray[i])) { //若当前用户是rolesArray中的任何一个,则有权限访问 return true; } } return false; } }</span>
通过Spring框架将该过滤器添加到shiro权限管理中
<span style="font-size:14px;"><?xml version="1.0" encoding="UTF-8"?> <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.1.xsd" default-lazy-init="true"> <!-- Shiro Filter --> <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean" depends-on="roleOrFilter"> <!-- 添加各种验证过滤器 --> <property name="filters"> <map> <entry key="roleOrFilter" value-ref="roleOrFilter"/> </map> </property> <!-- 添加对各种请求执行的过滤操作 --> <property name="filterChainDefinitions"> <value> <!-- 当前用户的角色必须是comm或test才有权限执行该URL请求 --> /user!query.action = authc,roleOrFilter["comm,test"] </value> </property> </bean> <!-- 自定义的过滤器,用来判断当前用户是否是roleOrFilter["comm,test"]中的某个角色 --> <bean id="roleOrFilter" class="com.test.shiro.CustomRolesAuthorizationFilter" /> </beans></span>
此时当当前用户的角色为comm或test时,有权访问/user!query.action,若既不是comm,也不是
test,则无权访问/user!query.action。
相关文章推荐
- IT角色:足迹第八步给账号设定角色权限(如何使用Apache Shiro框架)
- shiro角色( roles)自定义Filter----同一个URL配置多个角色的或关系
- Apache Shiro 整合Spring 进行权限验证 以及在Freemarker中使用shiro标签
- ASP.NET MVC4 SimpleMembership 基于角色的权限管理机制(一)--基本配置与使用
- 如何在IIS7上配置 FTP7并使用IIS管理凭据方式进行验证
- Apache Shiro 整合Spring 进行权限验证 以及在Freemarker中使用shiro标签
- 使用membership来进行角色与权限管理
- 简单两步快速实现shiro的配置和使用,包含登录验证、角色验证、权限验证以及shiro登录注销流程
- 如何在IIS7上配置 FTP7并使用IIS管理凭据方式进行验证?
- 003-基于URL的权限管理[不使用shiro]
- 使用shiro进行权限管理
- 【Shiro权限管理】5. Shiro权限URL 配置细节
- 使用membership来进行角色与权限管理
- 使用membership(System.Web.Security)来进行角色与权限管理
- 使用membership(System.Web.Security)来进行角色与权限管理
- 使用shiro进行权限管理
- 使用membership来进行角色与权限管理
- 使用 IIS 进行 Microsoft ASP.NET 2.0 成员/角色管理,第 1 部分:安全和配置概述
- Apache Shiro 整合Spring 进行权限验证 以及在Freemarker中使用shiro标签
- 使用Apache Shiro进行身份认证-proxool配置