三、 ApacheShiro 框架入门
1． Apache Shiro 框架简介和下载导入
实现权限控制， 可以自己写代码实现 （粗粒度权限控制 Filter、 细粒度权限控制 自
定义注解、代理、反射技术）
1、自己写权限框架
2、Spring Security （使用复杂， 依赖 Spring ）
3、Apache Shiro （更轻量， 使用更简单， 并不完全依赖 spring，可以独立使用 ）
官网： http://shiro.apache.org/
Apache Shiro 体系结构
1、Authentication 认证 ---- 用户登录，身份识别 who are you?
2、Authorization 授权 — 用户具有哪些权限、角色 what can you do ?
3、Cryptography 安全数据加密
4、Session Management 会话管理
5、Web Integration web 系统集成
6、Interations 集成其它应用，spring、缓存框架
最新版本 1.3.2
参考官方贵方： Apache_Shiro_reference(中文版).pdf
2． Apache Shiro 执行过程分析 和 权限控制主要方式
2.1． Shiro 运行主要运行流程
ApplicationCode 用户编写代码 Subject 就是 shiro 管理的用户 SecurityManager 安全管理器，是 shiro 权限控制核心对象， 在编程时，只需要操作
Subject 方法， 底层调用 SecurityManager 方法，无需直接编程操作 SecurityManager
Realm 应用程序和安全数据之间连接器 ，应用程序 进行权限控制读取安全数据（数据表、文件、网路 … ），通过 Realm 对象完成
登录流程： 应用程序 — Subject — SecurityManager — Realm — 安全数据
2.2． Shiro 进行权限控制
四种主要方式 ：
1、在程序中 通过 Subject 编程方式进行权限控制
2、配置 Filter 实现 URL 级别粗粒度权限控制 3、 配置代理，基于注解实现细粒度权限控制
4、 在页面中使用 shiro 自定义标签实现 页面显示权限控制
3． 用户登录功能实现
3.1． 配置 shiro 的 Filter 实现 URL 级别权限控制
1、配置 web.xml
2、配置 applicationContext-shiro.xml applicationContext.xml
applicationContext-shiro.xml
配置安全管理器
参考：
anon 未认证可以访问 authc 认证后可以访问 perms 需要特定权限才能访问 roles 需要特定角色才能访问 user 需要特定用户才能访问 port 需要特定端口才能访问 reset 根据指定 HTTP 请求访问才能访问
3.2． 用户登录（认证）功能实现
1、检查 login.html 表单元素 设置 form 的 action
点击立即登录，提交 form 表单
2、编写 UserAction 提供 login 登录方法
了解 Shiro 执行流程， 应用程序 — Subject — SecurityManager — Realm 安全数据
3、自定义 Realm 对象，实现认证方法
自定义 Realm 实现 Realm 接口 （实际开发中，只需要继承 AuthorizingRealm ）
将自定义 Realm 注入安全管理器 SecurityManager 当中
DAO 代码
Service 代码
Realm
4、在 user 表插入一些数据
5、在 shiroFilter 配置中将 user_login.action 放行
6、记住当用户名不存在和密码错误时，抛出异常
org.apache.shiro.authc.UnknownAccountException 当认证方法直接返回 null，说明用户名不存在
org.apache.shiro.authc.IncorrectCredentialsException 当返回对象中密码与用户输入密码不一致 密码错误
4． 用户授权功能实现
用户授权功能主要解决 用户能操作哪些功能问题 ！
4.1． 对页面部分功能添加权限和角色需要
修改 applicationContext-shiro.xml 配置 shiroFilter 权限过滤程序
访问 courier.html 时，因为需要特别权限 调用 自定义 Realm 的 doGetAuthorizationInfo
进行授权，如果没有权限，跳转
4.2． 在数据表中导入预定义角色、权限数据
导入 t_user_role_permission.sql
权限数据
角色数据
角色 权限 关系表
用户表
用户 角色关系表
4.3． 实现 Realm 的授权方法
Realm
创建角色 Service、DAO
创建权限 Service、DAO
5． Apache Shiro 实现方法级别细粒度权限控制
细粒度（方法）权限控制原因： 自定义注解（加在方法上，在注解中描述需要权限信息），对目标业务对象创建代理对象，在代理方法中使用反射技术读取注解信息，获取需要权限，查询当前登录用户具有权限是否满足
1、配置 applicationContext-shiro.xml 激活注解
传统 spring AOP 配置 ， 对 spring bean 创建代理 Advisor ，会在业务 Bean 使用 shiro 注解， 配置自动代理模式 （对所有 spring 管理 bean 的方法，执行时，检查是否有 shiro 注解 ）
2、配置快递员添加 方法，业务层使用 shiro 注解
注意问题：
针对 CourierServiceImpl 对象进行代理 ！！！ 解决：
applicationContext-dataSource.xml
applicationContext-shiro.xml
使用方法注解进行权限控制， 当权限不足时，代理对象抛出一个异常
org.apache.shiro.authz.UnauthorizedException: Subject does not have permission [courier_add]
6． Apache Shiro 实现页面元素显示控制 （了解）
这些标签用于 JSP 页面，控制一些元素是否可见
对这些按钮是否显示进行控制 ，没有权限的用户无法看到对应按钮的
1、在页面引入 shiro 标签库
2、通过 shiro 自带标签控制按钮是否显示
7． Apache Shiro 权限控制（小结）
第一种：URL 级别粗粒度权限控制
配置 web.xml 的 shiroFilter 拦截 /*
在 spring 的 applicationContext*.xml 配置文件中配置同名 bean，配置
filterChainDefinitions 拦截控制规则
xxx.html* = anon （未登录可以访问） xxx.html* =authc （必须登录才能访问 ） xxx.html* = perms[权限] （需要特定权限才能访问） xxx.html* = roles[角色] （需要特定角色才能访问 ）
第二种： 方法级别细粒度权限控制
在 spring 的 applicationContext*.xml 配置 spring aop 对 spring 管理 bean 对象开启 shiro 注解支持
@RequiresPermissions(权限) 需要特定权限才能访问
@RequiresRoles(角色) 需要特定角色才能访问
@RequiresAuthentication 需要认证才能访问
第三种：通过 shiro 自定义标签，实现页面元素显示控制
shiro:authenticated 登录后才能访问
<shiro:hasPermission name=“abc”> 需要特定权限才能访问
<shiro:hasRole name=“abc”> 需要特定角色才能访问
第四种：在程序中通过代码 判断用户是否具有指定权限（ 不太常用 ，有代码侵入 ）
补充： 权限表达式 “:”代表子权限
权限 courier 包含 courier:add、courier:list、courier:* ，如果用户具有父权限，操作
所有子权限功能
权限 courier:list 包含 courier:list:10