1 课程计划

1、 常见权限控制方式

2、 基于shiro提供url拦截方式验证权限

3、 在realm中授权

4、 基于shiro提供注解方式验证权限

5、 总结验证权限方式（四种）

6、 用户注销

7、 基于treegrid实现菜单展示

2 常见的权限控制方式

2.1 url拦截实现权限控制

shiro基于过滤器实现的

 

2.2 注解方式实现权限控制

底层：代理技术

 

 

3 基于shiro的url拦截方式验权

 

<!-- 配置过滤器工厂 -->

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">

<!-- 注入安全管理器 -->

<property name="securityManager" ref="securityManager"></property>

<!-- 注入相关页面

loginUrl ：登陆页面=用户没有登录，访问某个url(要求当前用户登陆后可见)shiro框架跳转登录页

    successUrl;登陆成功页面=可以不配（通过struts2框架跳转）

    unauthorizedUrl;权限不足页面=用户登陆后访问url(要求必须有某个权限)，如果用户没有权限，跳转此页面

 -->

<property name="loginUrl" value="/login.jsp"></property>

<property name="unauthorizedUrl" value="/unauthorized.jsp"></property>

<!-- 配置过滤器链：配置项目中url对应拦截规则（怎么验权） -->

<!--

等号左侧代表项目url    /** 项目中所有url

等号右侧代表url经过哪个过滤器（shiro框架提供，使用简称即可）

authc:表单认证过滤器（访问url，要求当前用户必须认证通过后才有权限访问）

anon:匿名过滤器（访问url，不需要登陆，不需要有权限==直接放行）

perms:权限授权过滤器（访问url,要求当前用户必须有某个权限）

roles:角色授权过滤器（访问url,要求当前用户必须有某个角色）

 -->

<property name="filterChainDefinitions">

<value>

/js/** = anon

/images/** = anon

/css/** = anon

/login.jsp = anon

/validatecode.jsp* = anon

/userAction_login.action = anon

/pages/base/standard.jsp = perms["standard_page"]

<!-- /courierAction_delete.action = perms["courier_delete"] -->

/pages/base/courier.jsp = roles["admin"]

/** = authc

</value>

</property>

</bean>

访问：使用权限过滤器perms 拦截到用户请求后，而当前用户没有任何权限。

 

4 在realm中授权

通过url控制权限：当某个请求需要进行权限校验，角色校验时候，安全管理器会调用reaml中授权的方法；获取用户角色，以及权限。

 

/**

* @Description: 给用户进行授权

*/

protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {

System.out.println("给用户授权");

//获取当前用户

User user = (User) SecurityUtils.getSubject().getPrincipal();

//数据库结构 用户-角色：多对多  角色-权限：多对多  可以根据用户id查询用户权限

//TODO 给用户授权只能是硬编码  ，后期改为查询数据库

//创建简单授权信息（包含当前用户对应的权限，角色）

SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();

//添加权限标识，注意这里不能添加空白权限

//跟过perms滤器中，要求权限标识一样

info.addStringPermission("courier_page");

info.addRole("admin");

return info;

}

 

1 基于shiro的注解方式验权

 

1.1 开启shiro注解支持

<!-- 开启shiro注解支持 -->

<!--

自动代理：自动根据情况不同选择代理技术

有接口：使用jdk动态代理==产生实现类代理对象

没有接口：使用cglib动态代理==产生子类代理对象

设置自动代理：强制使用cglib动态代理产生代理对象==如果使用自动代理使用jdk动态代理。产生对象为null -->

<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">

<property name="proxyTargetClass" value="true"></property>

</bean>

<!-- 配置验权切面：通知/增强（扩展功能代码：验证权限）+切点（shiro注解所在方法） -->

<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"></bean>

 

1.2 在Service中方法上使用shiro注解

 

 

验证当前用户是否有权限，当没有权限时候，shiro框架抛出异常；

解决：在Realm中给用户进行授权；给当前用户增加权限即可

 

 

 

1.3 使用struts2框架处理异常信息

 

 

 

 

 

2 总结权限控制方式

1、 url拦截：底层基于过滤器；在spring容器中配置过滤器链，配置项目中url对应拦截规则，注意：配置顺序

 

 

2、 注解方式：底层基于动态代理

a) 第一步开启shiro注解扫描 注意：强制使用cglib方式；事务注解也要使用cglib方式

b) 第二步：在service层中方法上使用shrio注解

3、 Shiro页面标签控制

<%@ taglib uri="http://shiro.apache.org/tags" prefix="shiro"%>

 

4、 代码级别

 

3 Shiro框架应用

1 基于shiro框架实现用户注销

1、 修改index.jsp页面退出时的请求地址

 

 

2、 在Action中提供logout方法

 

 

 

2 菜单的查询

项目部署后，菜单数据，通过sql脚本直接添加到数据库中。

 

菜单表自关联；

 

1.1 treeGrid展示菜单数据

 

 

Treegrid要求的数据格式

 

 

1、 页面：pages/system/menu.jsp

 

2、 创建菜单三层对象-完成注入 –略

3、 问题一：由于要求返回json包含children 并且方式 出现No-session

 

4、 解决：将子节点数据立即加载

 

5、 转json数据时候死循环

 

6、 问题：重复数据

Servie”: