【SaaS - Export项目】24 - Shiro授权，shiro授权校验，查看用户是否拥有访问权限，无权限拦截请求

忘是亡心i 2022-12-20 03:12 189阅读 0赞

### 文章目录 ###

*   *  Shiro授权功能介绍
     *   *  通过邮箱查询用户的权限
         *  在中给用户授权
         *  授权校验的几种实现方式
         *   *  1. 硬编码方式（拦截方法）
             *  2. 配置xml过滤器方式【\*\*\*推荐使用】
             *   *  配置用户没有权限访问时的跳转页面
             *  3. 注解方式
             *  4. 使用shiro提供的标签（拦截页面元素：按钮，表格等）

## Shiro授权功能介绍 ##

> 1）什么是授权
> 
> > 授权，也叫做授权访问校验，比如在登陆认证后，系统校验用户是否有权限访问资源，就叫授权。
> 
> 2）实现授权步骤
> 
> > 1.  登陆认证成功后，获取用户的权限 （获取模块权限）
> > 2.  访问资源时候，进行授权校验  
> >     用访问资源需要的权限去用户权限列表查找，如果存在，则有权限访问资源。（不存在权限就权限拦截，跳到提示页面）
> 
> 3）为什么要使用授权功能？
> 
> > 为了防止用户通过url地址访问到用户没有的权限模块，造成信息泄露。  
> > 比如该SaaS项目的用户（非SaaS管理员），没有管理和查看公司信息的权限，但是用户可以通过修改url地址进行访问到。  
> > ![在这里插入图片描述][20201110141617154.gif_pic_center]  
> > 通过Shiro的授权，如果用户没有权限，就跳转到指定的页面。  
> > ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center]

### 通过邮箱查询用户的权限 ###

select distinct m.name from pe_user u 
    inner join pe_role_user ru on ru.user_id = u.user_id
    inner join pe_role_module rm on ru.role_id = rm.role_id
    inner join ss_module m on m.module_id = rm.module_id
    where u.email = 'lw@export.com'

### 在中给用户授权 ###

> 登录的时候查询数据库获取用户的权限，将查询到的用户权限（中文名）循环放到shiro中去。  
> 访问资源时候，进行授权校验。就是用访问资源需要的权限去用户权限列表查找，如果存在，则有权限访问资源。（不存在权限就权限拦截，跳到提示页面）
> 
>     SimpleAuthorizationInfo authInfo =new >SimpleAuthorizationInfo();
>     authInfo.addStringPermission(m.getName());

//授权（查用户有什么权限）
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { 
            l.info("AuthRealm doGetAuthorizationInfo 【授权】函数执行查用户有什么权限）");
            //获取用户信息
            Subject subject = SecurityUtils.getSubject();
            User user = (User) subject.getPrincipal();//session
            l.info("doGetAuthorizationInfo user = " + user);//当前用户是谁
            if(user != null){ 
                //查询当前账号email用户名包含哪些权限(中文表示)
                List<Module> list = iModuleService.findModulesByUser(user);
                SimpleAuthorizationInfo authInfo =new SimpleAuthorizationInfo();
                //循环，用中文显示getName()
                for(Module m:list){ 
                    l.info("doGetAuthorizationInfo m "+m.getName());
                    //将字符串表示的权限名称添加到shiro
                    authInfo.addStringPermission(m.getName());
                    //访问资源时候，进行授权校验，用访问资源需要的权限去用户权限列表查找，如果存在，则有权限访问资源。
                    //（不存在权限就权限拦截，跳到提示页面）
                }//end for
                return authInfo;
            }//end if
            return null;
        }

### 授权校验的几种实现方式 ###

> 1） 硬编码方式（拦截方法）（非Web应用，Web应用）  
> 2） 过滤器配置方式（拦截url）（Web应用）  
> 3） 注解方式（拦截方法）（Web应用）  
> 4） shiro提供的标签（（拦截页面元素：按钮，表格等））（Web应用）

#### 1. 硬编码方式（拦截方法） ####

> 这种方式就是在每种前往页面的地方添加权限拦截，进行权限校验。（和自定义的AuthRealm中的AuthorizationInfo授权方法中获取的登录用户权限列表进行比较），如果存在，放行访问，不存在，跳转提示页面（默认抛出异常）

Subject subject = SecurityUtils.getSubject();
    //checkPermission就是检查权限，通过这个去自定义的AuthRealm类和用户的权限进行对照
    //如果用户权限列表里面有，就放行，否则就抛出权限异常/跳转到异常页面。
    subject.checkPermission("企业管理");

#### 2. 配置xml过滤器方式【\*\*\*推荐使用】 ####

> 通过XML配饰方式实现权限校验需求： 有用户管理的权限，才可以访问； 否则拒绝访问。  
> 在`applicationContext-shiro.xml`中配置，perms权限拦截。  
> 【注意】权限校验要配置在 /\*\*=authc 的前面  
> 原理：拦截请求时，通过shiro过滤器获取用户授权信息（AuthRealm的`AuthorizationInfo`）

在`applicationContext-shiro.xml`给url（就是controller地址）配置权限校验。

/system/user/toList = perms["用户管理"]
    
    
    /company/*=perms["企业管理"]

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            
            <property name="securityManager" ref="securityManager"/>
    
            <property name="filterChainDefinitions" >
                <value>
                    
                    
                    /css/**=anon
                    /img/**=anon
                    /fonts/**=anon
                    /plugins/**=anon
                    /testjsp/**=anon
                    
                    
                    /system/user/login-shiro=anon  
                    /system/user/login=anon  
                    /login.jsp=anon  
                    
    
                    
                    
                    
                    /company/*=perms["企业管理"]
    
                    /**=authc
                </value>
            </property>
            
            <property name="loginUrl" value="/login-shiro.jsp"/>
    
            
            <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        </bean>

这时候再去访问`/company/toList`就会跳转401未授权页面了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 1]

##### 配置用户没有权限访问时的跳转页面 #####

`applicationContext-shiro.xml`

<property name="unauthorizedUrl" value="/unauthorized.jsp"/>

这时候再去访问`/company/toList`就会跳转到我们自定义的未授权页面`unauthorized.jsp`。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 2]

#### 3. 注解方式 ####

> 通过注解配置方式实现权限校验需求， 有用户管理的权限，才可以访问； 否则拒绝访问。（如果有xml配置，先注释掉xml配置部分）  
> 可以做动态菜单（有权限才显示权限模块）

实现步骤：

1.  在`applicationContext-shiro.xml`中开启shiro注解支持

<bean id="lifecycleBeanPostProcessor"
              class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
        <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
              depends-on="lifecycleBeanPostProcessor"/>
        <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
            <property name="securityManager" ref="securityManager"/>
        </bean>

1.  在`springmvc.xml`中开启AOP自动代理（已经开启）

<aop:aspectj-autoproxy/>

1.  controller中添加注解（加载到需要权限才能访问的方法上）

@RequiresPermissions("权限名称")

在`company/toList`上添加`@RequiresPermissions("权限名称")`需要企业管理权限才能访问  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 3]  
访问`http://localhost:8080/SaaS-Export/company/toList`显示无权限页面  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 4]

#### 4. 使用shiro提供的标签（拦截页面元素：按钮，表格等） ####

> 一般将xml配饰和标签配合起来使用。  
> 标签会查询权限，如果没有权限不报错，将页面内容进行隐藏，反之显示页面内容。  
> 没有权限就隐藏，有权限就显示  
> ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 5]

需要在页面引入标签库，类似于c标签  
`<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>`

使用shiro标签 给name赋值，赋上什么值就表示需要什么权限

`shiro-test.jsp`

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
    
            <%-- 标签会查询权限，如果没有权限不报错，将页面内容进行隐藏，反之显示页面内容 --%>
            <shiro:hasPermission name="企业管理">
                <a href="">企业管理</a>
            </shiro:hasPermission>
    
            <shiro:hasPermission name="用户管理">
                <a href="">用户管理</a>
            </shiro:hasPermission>
    
            <shiro:hasPermission name="日志管理">
                <a href="">日志管理</a>
            </shiro:hasPermission>

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 6]

[20201110141617154.gif_pic_center]: /images/20221120/6d17a78cbe3849dfa478338111141fa2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center]: https://img-blog.csdnimg.cn/20201110141752957.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 1]: https://img-blog.csdnimg.cn/20201110202401901.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 2]: https://img-blog.csdnimg.cn/20201110204410726.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 3]: https://img-blog.csdnimg.cn/2020111021445641.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 4]: https://img-blog.csdnimg.cn/20201110214356590.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 5]: https://img-blog.csdnimg.cn/20201110220459969.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 6]: https://img-blog.csdnimg.cn/20201110220146845.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0,size_16,color_FFFFFF,t_70#pic_center