frame shiro 授权及原理简述

shiro 授权模式

shiro采用的是rbac授权模式
rbac，基于角色的权限管理，谁扮演什么角色，被允许做什么事情。

---

shiro 授权流程

---

shiro 授权方式

1、编程式

通过写if/else授权代码块完成

Subject subject = SecurityUtils.getSubject();
if(subject.hasRole("admin")) {
    // 有权限
} else {
    // 无权限
}

2、注解式

通过在执行的java方法上放置相应的注解完成

如果主体里没有admin角色，不能进入方法
@RequiresRoles("admin")
public void hello() {
    // 有权限
}

3、JSP标签式

<shiro:hasRole name="admin">
    <!-- 有权限，这个按钮显示 -->
</shiro:hasRole>

---

shiro 授权流程分析

1、首先调用Subject.isPermitted*/hasRole*接口，其会委托给SecurityManager，而SecurityManager接着会委托给Authorizer
2、Authorizer是真正的授权者，如果我们调用如isPermitted(“user:view”)，其首先会通过PermissionResolver把字符串转换成相应的Permission实例；
3、在进行授权之前，其会调用相应的Realm获取Subject相应的角色/权限用于匹配传入的角色/权限；
4、Authorizer会判断Realm的角色/权限是否和传入的匹配，如果有多个Realm，会委托给ModularRealmAuthorizer进行循环判断，如果匹配如isPermitted*/hasRole*会返回true，否则返回false表示授权失败。