使用shiro框架进行权限的管理

1.shir 4000 o框架的角色管理

首先，在jsp页面中需要导入shiro需要的uri

<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags"%>

导入该标签以后。就可以使用shiro的标签

<shiro:guest>
亲，请<a href="login.jsp">登录</a>
</shiro:guest>
<shiro:user>
<shiro:principal>

</shiro:principal>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<a
href="logout.do">退出</a>
</shiro:user>
<br>
<button id="ss" >系统管理</button>
<c:forEach items="${rolelist }" var="role">
<shiro:hasRole name="${role.roleName }">
<a href="Login/role${role.roleId }.do">${role.roleName }管理</a>
</shiro:hasRole>

<script type="text/javascript">

$("#ss").click(function () {
$.post("Login/role8.do",{},function (data){

})
})

</script>
</c:forEach>

<hr>
<div align="center">
<shiro:hasPermission name="user:create">
<a href="#">增加</a>
</shiro:hasPermission>
<table border="1" style="border-collapse: collapse;">
<tr>
<th>用户ID</th>
<th>姓名</th>
<th>年龄</th>
<th>性别</th>
<th>爱好</th>
<th>用户名</th>
<th>创建时间</th>
<th>操作</th>
</tr>

<c:forEach items="${pageResult.dataList}" var="user">
<tr>
<td><input type="checkbox" name="id" value="${user.userId }" />${user.userId }</td>
<td>${user.name }</td>
<td>${user.age }</td>
<td>${user.sex }</td>
<td>${user.hobby }</td>
<td>${user.userName }</td>
<td>${user.createTime }</td>
<td><shiro:hasPermission name="user:update">
<button>更新</button>
</shiro:hasPermission> <shiro:hasPermission name="user:delete">
<button>删除</button>
</shiro:hasPermission></td>
</c:forEach>

</table>
</div>

其中shiro:gues 20000 t 标签是可以匿名登录
shiro:user标签和shiro:principal一般是一起使用，表示的当前登录进来的用户是谁。
<shiro:hasRole name="">标签表示该用户拥有什么角色，如果该用户拥有name中的角色，则显示标签后面的所有代码。
<shiro:hasPermission name=“user:create”> 标签和上面的hasrole标签类似。

首先，需要在springMVC的配置文件中添加启用注解的配置

<bean
class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
depends-on="lifecycleBeanPostProcessor" />

现在就可以在java代码中使用shiro的注解来管理权限的访问了。

@RequestMapping("/role8.do")
@RequiresRoles(value= {"系统"})
public  String role8() {
return "role8";
}

这段代码可以看出，当页面访问这个方法的时候，必须是具有“系统”这个角色的时候才能访问，否则会抛出一个org.apache.shiro.authz.UnauthorizedException异常，可以在web.xml文件中捕获这个异常并且跳转一个错误的jsp页面

<error-page>
<exception-type>org.apache.shiro.authz.UnauthorizedException</exception-type>
<location>/WEB-INF/view/fail.jsp</location>
</error-page>

protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
String username = (String) principals.getPrimaryPrincipal();
List<Role> rolelist = roleservice.findRoleByUserName(username);
Set<String> roles = new HashSet<>();
Set<String> permission = new HashSet<>();
for (Role role : rolelist) {
roles.add(role.getRoleName());
List<Permission> permissionlist = permissionMapper.findPermissionByRoleId(role.getRoleId());
for (Permission permission1 : permissionlist) {
permission.add(permission1.getPermissionName());
}
}
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(roles);
info.addStringPermissions(permission);
return info;
}

在MyRealm中又两个重写的方法。doGetAuthorizationInfo()方法是授权方法，就是在jsp页面中又shiro的hasrole之类的标签时，才会调用该方法来查询该用户拥有哪些角色和权限。

至此，shiro对权限的控制和访问就已经能使用了。