shiro 架構基本講解

1. 1      權限管理

2. 1.1    什麼是權限管理

3.          基本上涉及到使用者參與的系統都要進行權限管理，權限管理屬于系統安全的範疇，權限管理實作對使用者通路系統的控制，按照安全規則或者安全政策控制使用者可以通路而且隻能通路自己被授權的資源。
4.          權限管理包括使用者身份認證和授權兩部分，簡稱認證授權。對于需要通路控制的資源使用者首先經過身份認證，認證通過後使用者具有該資源的通路權限方可通路。

5. 1.2    使用者身份認證

6. 1.2.1  概念

7.          身份認證，就是判斷一個使用者是否為合法使用者的處理過程。最常用的簡單身份認證方式是系統通過核對使用者輸入的使用者名和密碼，看其是否與系統中存儲的該使用者的使用者名和密碼一緻，來判斷使用者身份是否正确。對于采用指紋等系統，則出示指紋；對于硬體Key等刷卡系統，則需要刷卡。

1. 1.2.2  使用者名密碼身份認證流程

1. 1.2.3  關鍵對象

2.          上邊的流程圖中需要了解以下關鍵對象：

1. n  Subject：主體
2.          通路系統的使用者，主體可以是使用者、程式等，進行認證的都稱為主體；

1. n  Principal：身份資訊
2.          是主體（subject）進行身份認證的辨別，辨別必須具有唯一性，如使用者名、手機号、郵箱位址等，一個主體可以有多個身份，但是必須有一個主身份（Primary Principal）。

1. n  credential：憑證資訊
2.          是隻有主體自己知道的安全資訊，如密碼、證書等。

1. 1.3    授權

2. 1.3.1  概念

3.          授權，即通路控制，控制誰能通路哪些資源。主體進行身份認證後需要配置設定權限方可通路系統的資源，對于某些資源沒有權限是無法通路的。

1. 1.3.2  授權流程

2.  下圖中橙色為授權流程。

1. 1.3.3  關鍵對象

2.     授權可簡單了解為who對what(which)進行How操作：
3. n  Who，即主體（Subject），主體需要通路系統中的資源。
4. n  What，即資源（Resource），如系統菜單、頁面、按鈕、類方法、系統商品資訊等。資源包括資源類型和資源執行個體，比如商品資訊為資源類型，類型為t01的商品為資源執行個體，編号為001的商品資訊也屬于資源執行個體。
5. n  How，權限/許可（Permission），規定了主體對資源的操作許可，權限離開資源沒有意義，如使用者查詢權限、使用者添權重限、某個類方法的調用權限、編号為001使用者的修改權限等，通過權限可知主體對哪些資源都有哪些操作許可。
6. 權限分為粗顆粒和細顆粒，粗顆粒權限是指對資源類型的權限，細顆粒權限是對資源執行個體的權限。

1. 主體、資源、權限關系如下圖：

1. 1.3.4  權限模型

2. 對上節中的主體、資源、權限通過資料模型表示。

1. 主體（賬号、密碼）
2. 資源（資源名稱、通路位址）
3. 權限（權限名稱、資源id）
4. 角色（角色名稱）
5. 角色和權限關系（角色id、權限id）
6. 主體和角色關系（主體id、角色id）

1. 如下圖：

1. 通常企業開發中将資源和權限表合并為一張權限表，如下：
2. 資源（資源名稱、通路位址）
3. 權限（權限名稱、資源id）
4. 合并為：
5. 權限（權限名稱、資源名稱、資源通路位址）

1. 上圖常被稱為權限管理的通用模型，不過企業在開發中根據系統自身的特點還會對上圖進行修改，但是使用者、角色、權限、使用者角色關系、角色權限關系是需要去了解的。

1. 1.3.5  權限配置設定

2.          對主體配置設定權限，主體隻允許在權限範圍内對資源進行操作，比如：對u01使用者配置設定商品修改權限，u01使用者隻能對商品進行修改。
3.          權限配置設定的資料通常需要持久化，根據上邊的資料模型建立表并将使用者的權限資訊存儲在資料庫中。

1. 1.3.6  權限控制

2.          使用者擁有了權限即可操作權限範圍内的資源，系統不知道主體是否具有通路權限需要對使用者的通路進行控制。

1. 1.3.6.1基于角色的通路控制

2.          RBAC基于角色的通路控制（Role-Based Access Control）是以角色為中心進行通路控制，比如：主體的角色為總經理可以查詢企業營運報表，查詢員工工資資訊等，通路控制流程如下：

1. 上圖中的判斷邏輯代碼可以了解為：
2. if(主體.hasRole("總經理角色id")){
3.          查詢工資
4. }

1. 缺點：以角色進行通路控制粒度較粗，如果上圖中查詢工資所需要的角色變化為總經理和部門經理，此時就需要修改判斷邏輯為“判斷主體的角色是否是總經理或部門經理”，系統可擴充性差。
2. 修改代碼如下：
3. if(主體.hasRole("總經理角色id") ||  主體.hasRole("部門經理角色id")){
4.          查詢工資
5. }

1. 1.3.6.2基于資源的通路控制

2.          RBAC基于資源的通路控制（Resource-Based Access Control）是以資源為中心進行通路控制，比如：主體必須具有查詢工資權限才可以查詢員工工資資訊等，通路控制流程如下：

1. 上圖中的判斷邏輯代碼可以了解為：
2. if(主體.hasPermission("查詢工資權限辨別")){
3.          查詢工資
4. }

1. 優點：系統設計時定義好查詢工資的權限辨別，即使查詢工資所需要的角色變化為總經理和部門經理也隻需要将“查詢工資資訊權限”添加到“部門經理角色”的權限清單中，判斷邏輯不用修改，系統可擴充性強。

1. 2      權限管了解決方案

2. 2.1    粗顆粒度和細顆粒度

3. 2.1.1  什麼是粗顆粒度和細顆粒度

4.          對資源類型的管理稱為粗顆粒度權限管理，即隻控制到菜單、按鈕、方法，粗粒度的例子比如：使用者具有使用者管理的權限，具有導出訂單明細的權限。對資源執行個體的控制稱為細顆粒度權限管理，即控制到資料級别的權限，比如：使用者隻允許修改本部門的員工資訊，使用者隻允許導出自己建立的訂單明細。

1. 2.1.2  如何實作粗顆粒度和細顆粒度

2.          對于粗顆粒度的權限管理可以很容易做系統架構級别的功能，即系統功能操作使用統一的粗顆粒度的權限管理。
3.          對于細顆粒度的權限管理不建議做成系統架構級别的功能，因為對資料級别的控制是系統的業務需求，随着業務需求的變更業務功能變化的可能性很大，建議對資料級别的權限控制在業務層個性化開發，比如：使用者隻允許修改自己建立的商品資訊可以在service接口添加校驗實作，service接口需要傳入目前操作人的辨別，與商品資訊建立人辨別對比，不一緻則不允許修改商品資訊。

1. 3      shiro介紹

2. 3.1    什麼是shiro

3. Shiro是apache旗下一個開源架構，它将軟體系統的安全認證相關的功能抽取出來，實作使用者身份認證，權限授權、加密、會話管理等功能，組成了一個通用的安全認證架構。

4. 3.2    為什麼要學shiro

5.          既然shiro将安全認證相關的功能抽取出來組成一個架構，使用shiro就可以非常快速的完成認證、授權等功能的開發，降低系統成本。
6.          shiro使用廣泛，shiro可以運作在web應用，非web應用，叢集分布式應用中越來越多的使用者開始使用shiro。
7.          java領域中spring security(原名Acegi)也是一個開源的權限管理架構，但是spring security依賴spring運作，而shiro就相對獨立，最主要是因為shiro使用簡單、靈活，是以現在越來越多的使用者選擇shiro。

1. 3.3    Shiro架構

1. 3.3.1  Subject

2.          Subject即主體，外部應用與subject進行互動，subject記錄了目前操作使用者，将使用者的概念了解為目前操作的主體，可能是一個通過浏覽器請求的使用者，也可能是一個運作的程式。         Subject在shiro中是一個接口，接口中定義了很多認證授相關的方法，外部程式通過subject進行認證授，而subject是通過SecurityManager安全管理器進行認證授權

1. 3.3.2  SecurityManager

2.          SecurityManager即安全管理器，對全部的subject進行安全管理，它是shiro的核心，負責對所有的subject進行安全管理。通過SecurityManager可以完成subject的認證、授權等，實質上SecurityManager是通過Authenticator進行認證，通過Authorizer進行授權，通過SessionManager進行會話管理等。
3.          SecurityManager是一個接口，繼承了Authenticator, Authorizer, SessionManager這三個接口。

1. 3.3.3  Authenticator

2.          Authenticator即認證器，對使用者身份進行認證，Authenticator是一個接口，shiro提供ModularRealmAuthenticator實作類，通過ModularRealmAuthenticator基本上可以滿足大多數需求，也可以自定義認證器。

3. 3.3.4  Authorizer

4.          Authorizer即授權器，使用者通過認證器認證通過，在通路功能時需要通過授權器判斷使用者是否有此功能的操作權限。

1. 3.3.5  realm

2.          Realm即領域，相當于datasource資料源，securityManager進行安全認證需要通過Realm擷取使用者權限資料，比如：如果使用者身份資料在資料庫那麼realm就需要從資料庫擷取使用者身份資訊。
3.          注意：不要把realm了解成隻是從資料源取資料，在realm中還有認證授權校驗的相關的代碼。

1. 3.3.6  sessionManager

2. sessionManager即會話管理，shiro架構定義了一套會話管理，它不依賴web容器的session，是以shiro可以使用在非web應用上，也可以将分布式應用的會話集中在一點管理，此特性可使它實作單點登入。

3. 3.3.7  SessionDAO

4. SessionDAO即會話dao，是對session會話操作的一套接口，比如要将session存儲到資料庫，可以通過jdbc将會話存儲到資料庫。

5. 3.3.8  CacheManager

6. CacheManager即緩存管理，将使用者權限資料存儲在緩存，這樣可以提高性能。

7. 3.3.9  Cryptography

8.          Cryptography即密碼管理，shiro提供了一套加密/解密的元件，友善開發。比如提供常用的散列、加/解密等功能。

1. 3.4    shiro的jar包

2.          與其它java開源架構類似，将shiro的jar包加入項目就可以使用shiro提供的功能了。shiro-core是核心包必須選用，還提供了與web整合的shiro-web、與spring整合的shiro-spring、與任務排程quartz整合的shiro-quartz等，下邊是shiro各jar包的maven坐标。

1.    <dependency>
2.           <groupId>org.apache.shiro</groupId>
3.           <artifactId>shiro-core</artifactId>
4.           <version>1.2.3</version>
5.       </dependency>
6.       <dependency>
7.           <groupId>org.apache.shiro</groupId>
8.           <artifactId>shiro-web</artifactId>
9.           <version>1.2.3</version>
10.       </dependency>
11.       <dependency>
12.           <groupId>org.apache.shiro</groupId>
13.           <artifactId>shiro-spring</artifactId>
14.           <version>1.2.3</version>
15.       </dependency>
16.       <dependency>
17.           <groupId>org.apache.shiro</groupId>
18.           <artifactId>shiro-ehcache</artifactId>
19.           <version>1.2.3</version>
20.       </dependency>
21.       <dependency>
22.           <groupId>org.apache.shiro</groupId>
23.           <artifactId>shiro-quartz</artifactId>
24.           <version>1.2.3</version>
25.       </dependency>

1. 也可以通過引入shiro-all包括shiro所有的包：
2.    <dependency>
3.           <groupId>org.apache.shiro</groupId>
4.           <artifactId>shiro-all</artifactId>
5.           <version>1.2.3</version>
6.       </dependency>

7. 4      shiro認證

8. 4.1    認證流程

1. 4.2    入門程式（使用者登陸和退出）

2. 4.2.1  加入shiro-core的Jar包及依賴包

3. 4.2.2  log4j.properties日志配置檔案

4. log4j.rootLogger=debug, stdout

1. log4j.appender.stdout=org.apache.log4j.ConsoleAppender
2. log4j.appender.stdout.layout=org.apache.log4j.PatternLayout
3. log4j.appender.stdout.layout.ConversionPattern=%d %p [%c] - %m %n

1. 4.2.3  shiro.ini

2. 通過Shiro.ini配置檔案初始化SecurityManager環境。

1. 配置 eclipse支援ini檔案編輯：

1. 在eclipse配置後，在classpath建立shiro.ini配置檔案，為了友善測試将使用者名和密碼配置的shiro.ini配置檔案中：

1. [users]
2. zhang=123
3. lisi=123

1. 4.2.4  認證代碼

1. // 使用者登陸、使用者退出
2.     @Test
3.     public void testLoginLogout() {

1.        // 建構SecurityManager工廠，IniSecurityManagerFactory可以從ini檔案中初始化SecurityManager環境
2.        Factory<SecurityManager> factory = new IniSecurityManagerFactory(
3.               "classpath:shiro.ini");

1.        // 通過工廠建立SecurityManager
2.        SecurityManager securityManager = factory.getInstance();
3.        // 将securityManager設定到運作環境中
4.        SecurityUtils.setSecurityManager(securityManager);

1.        // 建立一個Subject執行個體，該執行個體認證要使用上邊建立的securityManager進行
2.        Subject subject = SecurityUtils.getSubject();

1.        // 建立token令牌，記錄使用者認證的身份和憑證即賬号和密碼
2.        UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");

1.        try {
2.            // 使用者登陸
3.            subject.login(token);
4.        } catch (AuthenticationException e) {
5.            // TODO Auto-generated catch block
6.            e.printStackTrace();
7.        }

1.        // 使用者認證狀态

1.        Boolean isAuthenticated = subject.isAuthenticated();

1.        System.out.println("使用者認證狀态：" + isAuthenticated);

1.        // 使用者退出

1.        subject.logout();

1.        isAuthenticated = subject.isAuthenticated();

1.        System.out.println("使用者認證狀态：" + isAuthenticated);

1.     }

1. 4.2.5  認證執行流程

1. 1、  建立token令牌，token中有使用者送出的認證資訊即賬号和密碼
2. 2、  執行subject.login(token)，最終由securityManager通過Authenticator進行認證
3. 3、  Authenticator的實作ModularRealmAuthenticator調用realm從ini配置檔案取使用者真實的賬号和密碼，這裡使用的是IniRealm（shiro自帶）
4. 4、  IniRealm先根據token中的賬号去ini中找該賬号，如果找不到則給ModularRealmAuthenticator傳回null，如果找到則比對密碼，比對密碼成功則認證通過。

1. 4.2.6  常見的異常

2. n  UnknownAccountException
3. 賬号不存在異常如下：
4. org.apache.shiro.authc.UnknownAccountException: No account found for user。。。。

1. n  IncorrectCredentialsException
2. 當輸入密碼錯誤會抛此異常，如下：
3. org.apache.shiro.authc.IncorrectCredentialsException: Submitted credentials for token [org.apache.shiro.authc.UsernamePasswordToken - zhangsan, rememberMe=false] did not match the expected credentials.

1. 更多如下：
2. DisabledAccountException（帳号被禁用）
3. LockedAccountException（帳号被鎖定）
4. ExcessiveAttemptsException（登入失敗次數過多）
5. ExpiredCredentialsException（憑證過期）等

1. 4.3    自定義Realm

2.          上邊的程式使用的是Shiro自帶的IniRealm，IniRealm從ini配置檔案中讀取使用者的資訊，大部分情況下需要從系統的資料庫中讀取使用者資訊，是以需要自定義realm。

1. 4.3.1  shiro提供的realm

1. 最基礎的是Realm接口，CachingRealm負責緩存處理，AuthenticationRealm負責認證，AuthorizingRealm負責授權，通常自定義的realm繼承AuthorizingRealm。

1. 4.3.2  自定義Realm

1. public class CustomRealm1 extends AuthorizingRealm {

1.     @Override
2.     public String getName() {
3.        return "customRealm1";
4.     }

1.     //支援UsernamePasswordToken
2.     @Override
3.     public boolean supports(AuthenticationToken token) {
4.        return token instanceof UsernamePasswordToken;
5.     }

1.     //認證
2.     @Override
3.     protected AuthenticationInfo doGetAuthenticationInfo(
4.            AuthenticationToken token) throws AuthenticationException {
5.        //從token中 擷取使用者身份資訊
6.        String username = (String) token.getPrincipal();
7.        //拿username從資料庫中查詢
8.        //....
9.        //如果查詢不到則傳回null
10.        if(!username.equals("zhang")){//這裡模拟查詢不到
11.            return null;
12.        }
13.        //擷取從資料庫查詢出來的使用者密碼
14.        String password = "123";//這裡使用靜态資料模拟。。
15.        //傳回認證資訊由父類AuthenticatingRealm進行認證
16.        SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
17.               username, password, getName());

1.        return simpleAuthenticationInfo;
2.     }

1.     //授權
2.     @Override
3.     protected AuthorizationInfo doGetAuthorizationInfo(
4.            PrincipalCollection principals) {
5.        // TODO Auto-generated method stub
6.        return null;
7.     }

1. }

1. 4.3.3  shiro-realm.ini

2. [main]
3. #自定義 realm
4. customRealm=cn.itcast.shiro.authentication.realm.CustomRealm1
5. #将realm設定到securityManager
6. securityManager.realms=$customRealm

1. 思考：這裡為什麼不用配置[users]了？？

2. 4.3.4  測試代碼

1. 測試代碼同入門程式，将ini的位址修改為shiro-realm.ini。

1. 分别模拟賬号不存在、密碼錯誤、賬号和密碼正确進行測試。

1. 4.4    雜湊演算法

2.          雜湊演算法一般用于生成一段文本的摘要資訊，雜湊演算法不可逆，将内容可以生成摘要，無法将摘要轉成原始内容。雜湊演算法常用于對密碼進行散列，常用的雜湊演算法有MD5、SHA。
3. 一般雜湊演算法需要提供一個salt（鹽）與原始内容生成摘要資訊，這樣做的目的是為了安全性，比如：111111的md5值是：96e79218965eb72c92a549dd5a330112，拿着“96e79218965eb72c92a549dd5a330112”去md5破解網站很容易進行破解，如果要是對111111和salt（鹽，一個随機數）進行散列，這樣雖然密碼都是111111加不同的鹽會生成不同的散列值。

1. 4.4.1  例子

1. //md5加密，不加鹽
2.        String password_md5 = new Md5Hash("111111").toString();
3.        System.out.println("md5加密，不加鹽="+password_md5);
4.        //md5加密，加鹽，一次散列
5.        String password_md5_sale_1 = new Md5Hash("111111", "eteokues", 1).toString();
6.        System.out.println("password_md5_sale_1="+password_md5_sale_1);
7.        String password_md5_sale_2 = new Md5Hash("111111", "uiwueylm", 1).toString();
8.        System.out.println("password_md5_sale_2="+password_md5_sale_2);
9.        //兩次散列相當于md5(md5())

1.        //使用SimpleHash
2.        String simpleHash = new SimpleHash("MD5", "111111", "eteokues",1).toString();
3.        System.out.println(simpleHash);

1. 4.4.2  在realm中使用

1.          實際應用是将鹽和散列後的值存在資料庫中，自動realm從資料庫取出鹽和加密後的值由shiro完成密碼校驗。

1. 4.4.2.1自定義realm

1. @Override
2.     protected AuthenticationInfo doGetAuthenticationInfo(
3.            AuthenticationToken token) throws AuthenticationException {
4.        //使用者賬号
5.        String username = (String) token.getPrincipal();
6.        //根據使用者賬号從資料庫取出鹽和加密後的值
7.        //..這裡使用靜态資料
8.        //如果根據賬号沒有找到使用者資訊則傳回null，shiro抛出異常“賬号不存在”
9.        //按照固定規則加密碼結果 ，此密碼 要在資料庫存儲，原始密碼 是111111，鹽是eteokues
10.        String password = "cb571f7bd7a6f73ab004a70322b963d5";
11.        //鹽，随機數，此随機數也在資料庫存儲
12.        String salt = "eteokues";
13.        //傳回認證資訊
14.        SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
15.               username, password, ByteSource.Util.bytes(salt),getName());

1.        return simpleAuthenticationInfo;
2.     }

1. 4.4.2.2realm配置

1. 配置shiro-cryptography.ini

1. [main]
2. #定義憑證比對器
3. credentialsMatcher=org.apache.shiro.authc.credential.HashedCredentialsMatcher
4. #雜湊演算法
5. credentialsMatcher.hashAlgorithmName=md5
6. #散列次數
7. credentialsMatcher.hashIterations=1

1. #将憑證比對器設定到realm
2. customRealm=cn.itcast.shiro.authentication.realm.CustomRealm2
3. customRealm.credentialsMatcher=$credentialsMatcher
4. securityManager.realms=$customRealm

1. 4.4.2.3測試代碼

2. 測試代碼同上個章節，注意修改ini路徑。

1. 5      shiro授權

1. 5.1    授權流程

1. 5.2    授權方式

2. Shiro 支援三種方式的授權：
3. n  程式設計式：通過寫if/else 授權代碼塊完成：
4. Subject subject = SecurityUtils.getSubject();
5. if(subject.hasRole(“admin”)) {
6. //有權限
7. } else {
8. //無權限
9. }
10. n  注解式：通過在執行的Java方法上放置相應的注解完成：
11. @RequiresRoles("admin")
12. public void hello() {
13. //有權限
14. }
15. n  JSP/GSP 标簽：在JSP/GSP 頁面通過相應的标簽完成：
16. <shiro:hasRole name="admin">
17. <!— 有權限—>
18. </shiro:hasRole>

1. 本教程式授權測試使用第一種程式設計方式，實際與web系統內建使用後兩種方式。

1. 5.3    授權測試

2. 5.3.1  shiro-permission.ini

3. 建立存放權限的配置檔案shiro-permission.ini，如下：

1. [users]
2. #使用者zhang的密碼是123，此使用者具有role1和role2兩個角色
3. zhang=123,role1,role2
4. wang=123,role2

1. [roles]
2. #角色role1對資源user擁有create、update權限
3. role1=user:create,user:update
4. #角色role2對資源user擁有create、delete權限
5. role2=user:create,user:delete
6. #角色role3對資源user擁有create權限
7. role3=user:create

1. 在ini檔案中使用者、角色、權限的配置規則是：“使用者名=密碼，角色1，角色2...” “角色=權限1，權限2...”，首先根據使用者名找角色，再根據角色找權限，角色是權限集合。

1. 5.3.2  權限字元串規則

2.          權限字元串的規則是：“資源辨別符：操作：資源執行個體辨別符”，意思是對哪個資源的哪個執行個體具有什麼操作，“:”是資源/操作/執行個體的分割符，權限字元串也可以使用*通配符。

1. 例子：
2. 使用者建立權限：user:create，或user:create:*
3. 使用者修改執行個體001的權限：user:update:001
4. 使用者執行個體001的所有權限：user：*：001

1. 5.3.3  測試代碼

1.          測試代碼同認證代碼，注意ini位址改為shiro-permission.ini，主要學習下邊授權的方法，注意：在使用者認證通過後執行下邊的授權代碼。

1. @Test
2.     public void testPermission() {

1.        // 從ini檔案中建立SecurityManager工廠
2.        Factory<SecurityManager> factory = new IniSecurityManagerFactory(
3.               "classpath:shiro-permission.ini");

1.        // 建立SecurityManager
2.        SecurityManager securityManager = factory.getInstance();

1.        // 将securityManager設定到運作環境
2.        SecurityUtils.setSecurityManager(securityManager);

1.        // 建立主體對象
2.        Subject subject = SecurityUtils.getSubject();

1.        // 對主體對象進行認證
2.        // 使用者登陸
3.        // 設定使用者認證的身份(principals)和憑證(credentials)
4.        UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
5.        try {
6.            subject.login(token);
7.        } catch (AuthenticationException e) {
8.            // TODO Auto-generated catch block
9.            e.printStackTrace();
10.        }

1.        // 使用者認證狀态
2.        Boolean isAuthenticated = subject.isAuthenticated();

1.        System.out.println("使用者認證狀态：" + isAuthenticated);

1.        // 使用者授權檢測 基于角色授權
2.        // 是否有某一個角色
3.        System.out.println("使用者是否擁有一個角色：" + subject.hasRole("role1"));
4.        // 是否有多個角色
5.        System.out.println("使用者是否擁有多個角色：" + subject.hasAllRoles(Arrays.asList("role1", "role2")));
6. //     subject.checkRole("role1");
7. //     subject.checkRoles(Arrays.asList("role1", "role2"));

1.        // 授權檢測，失敗則抛出異常
2.        // subject.checkRole("role22");

1.        // 基于資源授權
2.        System.out.println("是否擁有某一個權限：" + subject.isPermitted("user:delete"));
3.        System.out.println("是否擁有多個權限：" + subject.isPermittedAll("user:create:1", "user:delete"));
4.        //檢查權限
5.        subject.checkPermission("sys:user:delete");
6.        subject.checkPermissions("user:create:1","user:delete");

1.     }

1. 5.3.4  基于角色的授權

2. // 使用者授權檢測 基于角色授權
3.        // 是否有某一個角色
4.        System.out.println("使用者是否擁有一個角色：" + subject.hasRole("role1"));
5.        // 是否有多個角色
6.        System.out.println("使用者是否擁有多個角色：" + subject.hasAllRoles(Arrays.asList("role1", "role2")));

1. 對應的check方法：
2. subject.checkRole("role1");
3. subject.checkRoles(Arrays.asList("role1", "role2"));

1. 上邊check方法如果授權失敗則抛出異常：
2. org.apache.shiro.authz.UnauthorizedException: Subject does not have role [.....]

1. 5.3.5  基于資源授權

1. // 基于資源授權
2.        System.out.println("是否擁有某一個權限：" + subject.isPermitted("user:delete"));
3.        System.out.println("是否擁有多個權限：" + subject.isPermittedAll("user:create:1", "user:delete"));
4. 對應的check方法：
5. subject.checkPermission("sys:user:delete");
6. subject.checkPermissions("user:create:1","user:delete");

1. 上邊check方法如果授權失敗則抛出異常：
2. org.apache.shiro.authz.UnauthorizedException: Subject does not have permission [....]

1. 5.4    自定義realm

2.          與上邊認證自定義realm一樣，大部分情況是要從資料庫擷取權限資料，這裡直接實作基于資源的授權。

3. 5.4.1  realm代碼

1.          在認證章節寫的自定義realm類中完善doGetAuthorizationInfo方法，此方法需要完成：根據使用者身份資訊從資料庫查詢權限字元串，由shiro進行授權。

1. // 授權
2.     @Override
3.     protected AuthorizationInfo doGetAuthorizationInfo(
4.            PrincipalCollection principals) {
5.        // 擷取身份資訊
6.        String username = (String) principals.getPrimaryPrincipal();
7.        // 根據身份資訊從資料庫中查詢權限資料
8.        //....這裡使用靜态資料模拟
9.        List<String> permissions = new ArrayList<String>();
10.        permissions.add("user:create");
11.        permissions.add("user.delete");
12.        //将權限資訊封閉為AuthorizationInfo
13.        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
14.        for(String permission:permissions){
15.            simpleAuthorizationInfo.addStringPermission(permission);
16.        }
17.        return simpleAuthorizationInfo;
18.     }

1. 5.4.2  shiro-realm.ini

2. ini配置檔案還使用認證階段使用的，不用改變。
3. 思考：shiro-permission.ini中的[roles]為什麼不需要了？？

1. 5.4.3  測試代碼

2. 同上邊的授權測試代碼，注意修改ini位址為shiro-realm.ini。

1. 5.4.4  授權執行流程

1. 1、  執行subject.isPermitted("user:create")
2. 2、  securityManager通過ModularRealmAuthorizer進行授權
3. 3、  ModularRealmAuthorizer調用realm擷取權限資訊
4. 4、  ModularRealmAuthorizer再通過permissionResolver解析權限字元串，校驗是否比對

1. 6      shiro與項目內建開發

1. 6.1    shiro與spring web項目整合

1.          shiro與springweb項目整合在“基于url攔截實作的工程”基礎上整合，基于url攔截實作的工程的技術架構是springmvc+mybatis，整合注意兩點：
2.          1、shiro與spring整合
3.          2、加入shiro對web應用的支援

1. 6.1.1  取消原springmvc認證和授權攔截器

2. 去掉springmvc.xml中配置的LoginInterceptor和PermissionInterceptor攔截器。

1. 6.1.2  加入shiro的 jar包

1. 6.1.3  web.xml添加shiro Filter

1. <!-- shiro過慮器，DelegatingFilterProx會從spring容器中找shiroFilter -->
2.     <filter>
3.     <filter-name>shiroFilter</filter-name>
4.     <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
5.        <init-param>
6.            <param-name>targetFilterLifecycle</param-name>
7.            <param-value>true</param-value>
8.        </init-param>
9.     </filter>
10.     <filter-mapping>
11.        <filter-name>shiroFilter</filter-name>
12.        <url-pattern>/*</url-pattern>
13.     </filter-mapping>

1. 6.1.4  applicationContext-shiro.xml

1. <!-- Shiro 的Web過濾器 -->
2.     <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
3.        <property name="securityManager" ref="securityManager" />
4.        <!-- 如果沒有認證将要跳轉的登陸位址，http可通路的url，如果不在表單認證過慮器FormAuthenticationFilter中指定此位址就為身份認證位址 -->
5.        <property name="loginUrl" value="/login.action" />
6. <!-- 沒有權限跳轉的位址 -->
7.        <property name="unauthorizedUrl" value="/refuse.jsp" />
8. <!-- shiro攔截器配置 -->
9.        <property name="filters">
10.            <map>
11.               <entry key="authc" value-ref="formAuthenticationFilter" />
12.            </map>
13.        </property>
14.        <property name="filterChainDefinitions">
15.            <value>
16.               <!-- 必須通過身份認證方可通路，身份認 證的url必須和過慮器中指定的loginUrl一緻 -->
17.                /loginsubmit.action = authc
18.               <!-- 退出攔截，請求logout.action執行退出操作 -->
19.               /logout.action = logout
20.               <!-- 無權通路頁面 -->
21.               /refuse.jsp = anon
22.               <!-- roles[XX]表示有XX角色才可通路 -->
23.               /item/list.action = roles[item],authc
24.               /js/** anon
25.               /images/** anon
26.               /styles/** anon
27.               <!-- user表示身份認證通過或通過記住我認證通過的可以通路 -->
28.               /** = user
29.               <!-- /**放在最下邊，如果一個url有多個過慮器則多個過慮器中間用逗号分隔，如：/** = user,roles[admin] -->

1.            </value>
2.        </property>
3.     </bean>

1.     <!-- 安全管理器 -->
2.     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
3.        <property name="realm" ref="userRealm" />
4.     </bean>

1.     <!-- 自定義 realm -->
2.     <bean id="userRealm" class="cn.itcast.ssm.realm.CustomRealm1">
3.     </bean>
4.     <!-- 基于Form表單的身份驗證過濾器，不配置将也會注冊此過慮器，表單中的使用者賬号、密碼及loginurl将采用預設值，建議配置 -->
5.     <bean id="formAuthenticationFilter"
6.         class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">
7.        <!-- 表單中賬号的input名稱 -->
8.        <property name="usernameParam" value="usercode" />
9.        <!-- 表單中密碼的input名稱 -->
10.        <property name="passwordParam" value="password" />
11.        <!-- <property name="rememberMeParam" value="rememberMe"/> -->
12.        <!-- loginurl：使用者登陸位址，此位址是可以http通路的url位址 -->
13.        <property name="loginUrl" value="/loginsubmit.action" />
14.     </bean>

1. securityManager：這個屬性是必須的。
2. loginUrl：沒有登入認證的使用者請求将跳轉到此位址，不是必須的屬性，不輸入位址的話會自動尋找項目web項目的根目錄下的”/login.jsp”頁面。
3. unauthorizedUrl：沒有權限預設跳轉的頁面。

1. 6.1.5  使用shiro注解授權

1. 在springmvc.xml中配置shiro注解支援，可在controller方法中使用shiro注解配置權限：

1. <!-- 開啟aop，對類代理 -->
2.     <aop:config proxy-target-class="true"></aop:config>
3.     <!-- 開啟shiro注解支援 -->
4.     <bean
5.        class="
6. org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
7.        <property name="securityManager" ref="securityManager" />
8.     </bean>

1. 修改Controller代碼，在方法上添加授權注解，如下：

1. // 查詢商品清單
2.     @RequestMapping("/queryItem")
3.     @RequiresPermissions("item:query")
4.     public ModelAndView queryItem() throws Exception {

1.          上邊代碼@RequiresPermissions("item:query")表示必須擁有“item:query”權限方可執行。
2.          其它的方法參考示例添加注解，一邊添加一邊思考這比基于url攔截有什麼好處。

1. 6.1.6  自定義realm

1. 此realm先不從資料庫查詢權限資料，目前需要先将shiro整合完成，在上邊章節定義的realm基礎上修改。

1. public class CustomRealm1 extends AuthorizingRealm {

1.     @Autowired
2.     private SysService sysService;

1.     @Override
2.     public String getName() {
3.        return "customRealm";
4.     }

1.     // 支援什麼類型的token
2.     @Override
3.     public boolean supports(AuthenticationToken token) {
4.        return token instanceof UsernamePasswordToken;
5.     }

1.     // 認證
2.     @Override
3.     protected AuthenticationInfo doGetAuthenticationInfo(
4.            AuthenticationToken token) throws AuthenticationException {

1.        // 從token中 擷取使用者身份資訊
2.        String username = (String) token.getPrincipal();
3.        // 拿username從資料庫中查詢
4.        // ....
5.         // 如果查詢不到則傳回null
6.        if (!username.equals("zhang")) {// 這裡模拟查詢不到
7.            return null;
8.        }

1.        // 擷取從資料庫查詢出來的使用者密碼
2.        String password = "123";// 這裡使用靜态資料模拟。。
3.        // 根據使用者id從資料庫取出菜單
4.        //...先用靜态資料
5.        List<SysPermission> menus = new ArrayList<SysPermission>();;
6.        SysPermission sysPermission_1 = new SysPermission();
7.        sysPermission_1.setName("商品管理");
8.        sysPermission_1.setUrl("/item/queryItem.action");
9.        SysPermission sysPermission_2 = new SysPermission();
10.        sysPermission_2.setName("使用者管理");
11.        sysPermission_2.setUrl("/user/query.action");
12.        menus.add(sysPermission_1);
13.        menus.add(sysPermission_2);
14.        // 建構使用者身體份資訊
15.        ActiveUser activeUser = new ActiveUser();
16.        activeUser.setUserid(username);
17.        activeUser.setUsername(username);
18.        activeUser.setUsercode(username);
19.        activeUser.setMenus(menus);

1.        // 傳回認證資訊由父類AuthenticatingRealm進行認證
2.        SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
3.               activeUser, password, getName());

1.        return simpleAuthenticationInfo;
2.     }

1.     // 授權
2.     @Override
3.     protected AuthorizationInfo doGetAuthorizationInfo(
4.            PrincipalCollection principals) {
5.        // 擷取身份資訊
6.        ActiveUser activeUser = (ActiveUser) principals.getPrimaryPrincipal();
7.        //使用者id
8.        String userid = activeUser.getUserid();
9.        // 根據使用者id從資料庫中查詢權限資料
10.        // ....這裡使用靜态資料模拟
11.        List<String> permissions = new ArrayList<String>();
12.        permissions.add("item:query");
13.        permissions.add("item:update");

1.        // 将權限資訊封閉為AuthorizationInfo

1.        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
2.        for (String permission : permissions) {
3.            simpleAuthorizationInfo.addStringPermission(permission);
4.        }

1.        return simpleAuthorizationInfo;
2.     }

1. }

1. 6.1.7  登入

2. //使用者登陸頁面
3.     @RequestMapping("/login")
4.     public String login()throws Exception{
5.        return "login";
6.     }
7.     // 使用者登陸送出
8.     @RequestMapping("/loginsubmit")
9.     public String loginsubmit(Model model, HttpServletRequest request)
10.            throws Exception {

1.        // shiro在認證過程中出現錯誤後将異常類路徑通過request傳回
2.        String exceptionClassName = (String) request
3.               .getAttribute("shiroLoginFailure");
4.        if (UnknownAccountException.class.getName().equals(exceptionClassName)) {
5.            throw new CustomException("賬号不存在");
6.        } else if (IncorrectCredentialsException.class.getName().equals(
7.               exceptionClassName)) {
8.            throw new CustomException("使用者名/密碼錯誤");
9.        } else{
10.            throw new Exception();//最終在異常處理器生成未知錯誤
11.        }
12.     }

1. 6.1.8  首頁

1. 由于session由shiro管理，需要修改首頁的controller方法：

1. //系統首頁
2.     @RequestMapping("/first")
3.     public String first(Model model)throws Exception{
4.        //主體
5.        Subject subject = SecurityUtils.getSubject();
6.        //身份
7.        ActiveUser activeUser = (ActiveUser) subject.getPrincipal();
8.        model.addAttribute("activeUser", activeUser);
9.        return "/first";
10.     }

1. 6.1.9  退出

1. 由于使用shiro的sessionManager，不用開發退出功能，使用shiro的logout攔截器即可。

1. <!-- 退出攔截，請求logout.action執行退出操作 -->
2. /logout.action = logout

1. 6.1.10 無權限refuse.jsp

1. 當使用者無操作權限，shiro将跳轉到refuse.jsp頁面。
2. 參考：applicationContext-shiro.xml

1. 6.2    realm連接配接資料庫

1. 6.2.1  添加憑證比對器

2. 添加憑證比對器實作md5加密校驗。
3. 修改applicationContext-shiro.xml：

1. <!-- 憑證比對器 -->
2.     <bean id="credentialsMatcher"
3.         class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
4.        <property name="hashAlgorithmName" value="md5" />
5.        <property name="hashIterations" value="1" />
6.     </bean>

1. <!-- 自定義 realm -->
2.     <bean id="userRealm" class="cn.itcast.ssm.realm.CustomRealm1">
3.        <property name="credentialsMatcher" ref="credentialsMatcher" />
4.     </bean>

1. 6.2.2  realm代碼

2. 修改realm代碼從資料庫中查詢使用者身份資訊和權限資訊，将sysService注入realm。

1. public class CustomRealm1 extends AuthorizingRealm {

1.     @Autowired
2.     private SysService sysService;

1.     @Override
2.     public String getName() {
3.        return "customRealm";
4.     }

1.     // 支援什麼類型的token
2.     @Override
3.     public boolean supports(AuthenticationToken token) {
4.        return token instanceof UsernamePasswordToken;
5.     }

1.     @Override
2.     protected AuthenticationInfo doGetAuthenticationInfo(
3.            AuthenticationToken token) throws AuthenticationException {
4.        // 從token中擷取使用者身份
5.        String usercode = (String) token.getPrincipal();

1.        SysUser sysUser = null;
2.        try {
3.            sysUser = sysService.findSysuserByUsercode(usercode);
4.        } catch (Exception e) {
5.            // TODO Auto-generated catch block
6.            e.printStackTrace();
7.        }

1.        // 如果賬号不存在
2.        if (sysUser == null) {
3.            throw new UnknownAccountException("賬号找不到");
4.        }

1.        // 根據使用者id取出菜單
2.        List<SysPermission> menus = null;
3.        try {
4.            menus = sysService.findMenuList(sysUser.getId());
5.        } catch (Exception e) {
6.            // TODO Auto-generated catch block
7.            e.printStackTrace();
8.        }
9.        // 使用者密碼
10.        String password = sysUser.getPassword();
11.        //鹽
12.        String salt = sysUser.getSalt();
13.        // 建構使用者身體份資訊
14.        ActiveUser activeUser = new ActiveUser();
15.        activeUser.setUserid(sysUser.getId());
16.        activeUser.setUsername(sysUser.getUsername());
17.        activeUser.setUsercode(sysUser.getUsercode());
18.        activeUser.setMenus(menus);
19.        SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
20.               activeUser, password, ByteSource.Util.bytes(salt),getName());
21.        return simpleAuthenticationInfo;
22.     }

1.     @Override
2.     protected AuthorizationInfo doGetAuthorizationInfo(
3.            PrincipalCollection principals) {
4.        //身份資訊
5.        ActiveUser activeUser = (ActiveUser) principals.getPrimaryPrincipal();
6.        //使用者id
7.        String userid = activeUser.getUserid();
8.        //擷取使用者權限
9.        List<SysPermission> permissions = null;
10.        try {
11.            permissions = sysService.findSysPermissionList(userid);
12.        } catch (Exception e) {
13.            // TODO Auto-generated catch block
14.            e.printStackTrace();
15.        }
16.        //建構shiro授權資訊
17.        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
18.        for(SysPermission sysPermission:permissions){
19.        simpleAuthorizationInfo.addStringPermission(sysPermission.getPercode());
20.        }
21.        return simpleAuthorizationInfo;
22.     }

1. }

1. 6.3    緩存

2.    shiro每個授權都會通過realm擷取權限資訊，為了提高通路速度需要添加緩存，第一次從realm中讀取權限資料，之後不再讀取，這裡Shiro和Ehcache整合。

1. 6.3.1  添加Ehcache的jar包

1. 6.3.2  配置

2. 在applicationContext-shiro.xml中配置緩存管理器。
3. <!-- 安全管理器 -->
4.     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
5.        <property name="realm" ref="userRealm" />
6.        <property name="sessionManager" ref="sessionManager" />
7.        <property name="cacheManager" ref="cacheManager"/>
8.     </bean>

1. <!-- 緩存管理器 -->
2.     <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
3.     </bean>

1. 6.4    session管理

2. 在applicationContext-shiro.xml中配置sessionManager：
3. <!-- 安全管理器 -->
4.     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
5.        <property name="realm" ref="userRealm" />
6.        <property name="sessionManager" ref="sessionManager" />
7.     </bean>
8. <!-- 會話管理器 -->
9.     <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
10.         <!-- session的失效時長，機關毫秒 -->
11.         <property name="globalSessionTimeout" value="600000"/>
12.         <!-- 删除失效的session -->
13.         <property name="deleteInvalidSessions" value="true"/>
14.     </bean>

1. 6.5    驗證碼

1. 6.5.1  自定義FormAuthenticationFilter

2. 需要在驗證賬号和名稱之前校驗驗證碼。

1. public class MyFormAuthenticationFilter extends FormAuthenticationFilter {
2.     protected boolean onAccessDenied(ServletRequest request,
3.            ServletResponse response, Object mappedValue) throws Exception {

1.        // 校驗驗證碼
2.        // 從session擷取正确的驗證碼
3.        HttpSession session = ((HttpServletRequest)request).getSession();
4.        //頁面輸入的驗證碼
5.        String randomcode = request.getParameter("randomcode");
6.        //從session中取出驗證碼
7.        String validateCode = (String) session.getAttribute("validateCode");
8.        if (!randomcode.equals(validateCode)) {
9.            // randomCodeError表示驗證碼錯誤
10.            request.setAttribute("shiroLoginFailure", "randomCodeError");
11.            //拒絕通路，不再校驗賬号和密碼
12.            return true;
13.        }
14.        return super.onAccessDenied(request, response, mappedValue);
15.     }
16. }

1. 6.5.2  修改FormAuthenticationFilter配置

2. 修改applicationContext-shiro.xml中對FormAuthenticationFilter的配置。

1. <bean id="formAuthenticationFilter"
2.         class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">

1. 改為
2. <bean id="formAuthenticationFilter"
3.        class="cn.itcast.ssm.shiro.MyFormAuthenticationFilter">

1. 6.5.3  登陸頁面

2. 添加驗證碼：
3. <TR>
4.                          <TD>驗證碼：</TD>
5.                          <TD><input id="randomcode" name="randomcode" size="8" /> <img
6.                             id="randomcode_img" src="${baseurl}validatecode.jsp" alt=""
7.                             width="56" height="20" align='absMiddle' /> <a
8.                             href=javascript:randomcode_refresh()>重新整理</a></TD>
9.                      </TR>

      6.5.4  配置validatecode.jsp匿名通路

1. 修改applicationContext-shiro.xml：

1. 6.6    記住我

2.          使用者登陸選擇“自動登陸”本次登陸成功會向cookie寫身份資訊，下次登陸從cookie中取出身份資訊實作自動登陸。

3. 6.6.1  使用者身份實作java.io.Serializable接口

4. 向cookie記錄身份資訊需要使用者身份資訊對象實作序列化接口，如下：

1. 6.6.2  配置

1. <!-- 安全管理器 -->
2.     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
3.        <property name="realm" ref="userRealm" />
4.        <property name="sessionManager" ref="sessionManager" />
5.        <property name="cacheManager" ref="cacheManager"/>
6.        <!-- 記住我 -->
7.        <property name="rememberMeManager" ref="rememberMeManager"/>
8.     </bean>

1. <!-- rememberMeManager管理器 -->
2.     <bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">
3.        <property name="cookie" ref="rememberMeCookie" />
4.     </bean>
5.     <!-- 記住我cookie -->
6.     <bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
7.        <constructor-arg value="rememberMe" />
8.        <!-- 記住我cookie生效時間30天 -->
9.        <property name="maxAge" value="2592000" />
10.     </bean>

1. 修改formAuthenticationFitler添加頁面中“記住我checkbox”的input名稱：

1. <bean id="formAuthenticationFilter"
2.        class="cn.itcast.ssm.shiro.MyFormAuthenticationFilter">
3.        <!-- 表單中賬号的input名稱 -->
4.        <property name="usernameParam" value="usercode" />
5.        <!-- 表單中密碼的input名稱 -->
6.        <property name="passwordParam" value="password" />
7.        <property name="rememberMeParam" value="rememberMe"/>
8.        <!-- loginurl：使用者登陸位址，此位址是可以http通路的url位址 -->
9.        <property name="loginUrl" value="/loginsubmit.action" />
10.     </bean>

1. 6.6.3  登陸頁面

2. 在login.jsp中添加“記住我”checkbox。

1. <TR>
2.                          <TD></TD>
3.                          <TD>
4.                          <input type="checkbox" name="rememberMe" />自動登陸
5.                          </TD>
6.                      </TR>

1. 7      附：

2. 7.1    shiro過慮器

過濾器簡稱	對應的java類
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl	org.apache.shiro.web.filter.authz.SslFilter
user	org.apache.shiro.web.filter.authc.UserFilter
logout	org.apache.shiro.web.filter.authc.LogoutFilter

anon:例子/admins/**=anon 沒有參數，表示可以匿名使用。

authc:例如/admins/user/**=authc表示需要認證(登入)才能使用，沒有參數

roles：例子/admins/user/**=roles[admin],參數可以寫多個，多個時必須加上引号，并且參數之間用逗号分割，當有多個參數時，例如admins/user/**=roles["admin,guest"],每個參數通過才算通過，相當于hasAllRoles()方法。

perms：例子/admins/user/**=perms[user:add:*],參數可以寫多個，多個時必須加上引号，并且參數之間用逗号分割，例如/admins/user/**=perms["user:add:*,user:modify:*"]，當有多個參數時必須每個參數都通過才通過，想當于isPermitedAll()方法。

rest：例子/admins/user/**=rest[user],根據請求的方法，相當于/admins/user/**=perms[user:method] ,其中method為post，get，delete等。

port：例子/admins/user/**=port[8081],當請求的url的端口不是8081是跳轉到schemal://serverName:8081?queryString,其中schmal是協定http或https等，serverName是你通路的host,8081是url配置裡port的端口，queryString

是你通路的url裡的？後面的參數。

authcBasic：例如/admins/user/**=authcBasic沒有參數表示httpBasic認證

ssl:例子/admins/user/**=ssl沒有參數，表示安全的url請求，協定為https

user:例如/admins/user/**=user沒有參數表示必須存在使用者，當登入操作時不做檢查

注：

anon，authcBasic，auchc，user是認證過濾器，

perms，roles，ssl，rest，port是授權過濾器

7.2    shiro的jsp标簽

Jsp

<%@ tagliburi="http://shiro.apache.org/tags" prefix="shiro" %>

标簽名稱	标簽條件（均是顯示标簽内容）
<shiro:authenticated>	登入之後
<shiro:notAuthenticated>	不在登入狀态時
<shiro:guest>	使用者在沒有RememberMe時
<shiro:user>	使用者在RememberMe時
<shiro:hasAnyRoles name="abc,123" >	在有abc或者123角色時
<shiro:hasRole name="abc">	擁有角色abc
<shiro:lacksRole name="abc">	沒有角色abc
<shiro:hasPermission name="abc">	擁有權限資源abc
<shiro:lacksPermission name="abc">	沒有abc權限資源
<shiro:principal>	顯示使用者身份名稱