SpringBoot集成Shiro 实现动态加载权限（springboot集成neo4j）

一、前言本文小编将基于 SpringBoot 集成 Shiro 实现动态uri权限，由前端vue在页面配置uri，Java后端动态刷新权限，不用重启项目，以及在页面分配给用户 角色 、 按钮 、uri 权限后，后端动态分配权限，用户无需在页面重新登录才能获取最新权限，一切权限动态加载，灵活配置

( E8 N/ n6 D; ^' x1 L

基本环境spring-boot 2.1.7mybatis-plus 2.1.0mysql 5.7.24redis 5.0.5温馨小提示：案例demo源码附文章末尾，有需要的小伙伴们可参考哦 ~二、SpringBoot集成Shiro

1、引入相关maven依赖 4 ]/ }. X5 @% s9 F5 d 1.4.0 3.1.0 q) G, m! O5 H% L' w" M ?/ Y- Y+ J, ^8 ^" `2 a) a) b " V+ {; s6 D- W' J m8 V4 P+ J org.springframework.boot 3 ^+ j- ~" L( O' m2 R spring-boot-starter-aop $ C* Z9 a. v4 ^& ^5 O 1 O( u1 Z/ N6 Q+ t8 d/ E org.springframework.boot spring-boot-starter-data-redis-reactive ( F3 \2 u, C; r$ V: e, B 4 W* e! U) K: ^5 e org.apache.shiro ' ^2 j1 f/ n( i- t2 D- [/ D shiro-spring 1 d) n1 Z6 U! c1 W$ L- Z ${shiro-spring.version} - s( n( {. s( D) G; A ( d- {6 \6 Y; e+ U3 u# d' w - O/ Q) O1 l# w# e $ r# w6 x- N N' U5 a org.crazycake ( W% x0 O0 F5 U2 A% o! j shiro-redis ${shiro-redis.version} ) H0 b) C8 z4 ] u. {" R4 d( {5 U

0 E# |% i0 `1 M6 }+ v

2、自定义RealmdoGetAuthenticationInfo：身份认证 （主要是在登录时的逻辑处理）doGetAuthorizationInfo：登陆认证成功后的处理 ex: 赋予角色和权限【 注：用户进行权限验证时 Shiro会去缓存中找,如果查不到数据,会执行doGetAuthorizationInfo这个方法去查权限,并放入缓存中 】 -> 因此我们在前端页面分配用户权限时 执行清除shiro缓存的方法即可实现动态分配用户权限

1 ?, ?- }/ O! F: v# \! U/ n) W

@Slf4j public class ShiroRealm extends AuthorizingRealm { , T4 l! |0 T+ X7 E3 h k @Autowired private UserMapper userMapper; @Autowired 3 F. |1 V( `+ j private MenuMapper menuMapper; @Autowired / _+ V1 U2 S' @ N7 H. b& }+ C private RoleMapper roleMapper; @Override # P+ S1 `) ]' e+ {9 K public String getName() { return "shiroRealm"; . m- C* {$ v1 d/ ] } 4 ?" n: ]( C j /** % u: v0 B6 A7 r9 V: \: Y; Q/ v * 赋予角色和权限:用户进行权限验证时 Shiro会去缓存中找,如果查不到数据,会执行这个方法去查权限,并放入缓存中 3 k) i3 U' j j1 G */ @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo(); // 获取用户 User user = (User) principalCollection.getPrimaryPrincipal(); z! {& n) m5 r1 ` Integer userId =user.getId(); // 这里可以进行授权和处理 Set rolesSet = new HashSet<>(); Set permsSet = new HashSet<>(); ! E) V i8 w# }, I // 获取当前用户对应的权限(这里根据业务自行查询) + L" F) ^+ A: U- \( w$ c# f$ | List roleList = roleMapper.selectRoleByUserId( userId ); # G B3 y4 l/ r- ]6 x for (Role role:roleList) { rolesSet.add( role.getCode() ); 6 T7 B z6 N% ~4 [( Q List menuList = menuMapper.selectMenuByRoleId( role.getId() ); 6 c3 P! Z# c3 g for (Menu menu :menuList) { : V4 `; W3 D, @6 y7 R permsSet.add( menu.getResources() ); ; z+ t( n7 I# d) G& ` } } ! S: h+ k/ t: c8 C5 R //将查到的权限和角色分别传入authorizationInfo中 & u: O' y) _+ ? authorizationInfo.setStringPermissions(permsSet); authorizationInfo.setRoles(rolesSet); log.info("--------------- 赋予角色和权限成功！ ---------------"); 0 ]9 M0 r! k( C return authorizationInfo; - A. ^% _& _( N& n! y! Y9 q* i } /** * 身份认证 - 之后走上面的 授权 3 u" ]* j% o" D" Z+ u4 K */ @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException { UsernamePasswordToken tokenInfo = (UsernamePasswordToken)authenticationToken; ) ?2 @! ~- p9 d$ l0 b) i // 获取用户输入的账号 `* h3 W) t0 J$ C& \2 H String username = tokenInfo.getUsername(); // 获取用户输入的密码 1 j$ [) T- S3 G String password = String.valueOf( tokenInfo.getPassword() ); // 通过username从数据库中查找 User对象，如果找到进行验证 ; C3 B1 D$ x, q; f% H // 实际项目中,这里可以根据实际情况做缓存,如果不做,Shiro自己也是有时间间隔机制,2分钟内不会重复执行该方法 1 {1 N/ D# L. c3 |) g1 T, d& m User user = userMapper.selectUserByUsername(username); ; g! v0 q e' D0 R! H% o9 X6 M // 判断账号是否存在 if (user == null) { 3 r$ a$ ~: A! { //返回null -> shiro就会知道这是用户不存在的异常 return null; } $ i9 s' c- G- | // 验证密码 【注：这里不采用shiro自身密码验证 ， 采用的话会导致用户登录密码错误时，已登录的账号也会自动下线！ 如果采用，移除下面的清除缓存到登录处 处理】 if ( !password.equals( user.getPwd() ) ){ throw new IncorrectCredentialsException("用户名或者密码错误"); , o5 X( Y% `# U0 Q } // 判断账号是否被冻结 if (user.getFlag()==null|| "0".equals(user.getFlag())){ throw new LockedAccountException(); * t$ V- r/ m+ G } % r9 m4 H8 n! c& R A" ?1 Q1 e2 w& l /** : Z- p6 E$ s& j! p" J* L * 进行验证 -> 注：shiro会自动验证密码 * 参数1：principal -> 放对象就可以在页面任意地方拿到该对象里面的值 * 参数2：hashedCredentials -> 密码 * 参数3：credentialsSalt -> 设置盐值 * 参数4：realmName -> 自定义的Realm 0 q0 `5 y1 g5 b: u */ SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(user, user.getPassword(), ByteSource.Util.bytes(user.getSalt()), getName()); : W8 S @% q; e! I8 M( m // 验证成功开始踢人(清除缓存和Session) ShiroUtils.deleteCache(username,true); // 认证成功后更新token 6 o# A' K8 r: I0 y, j String token = ShiroUtils.getSession().getId().toString(); user.setToken( token ); userMapper.updateById(user); 6 }- d. ?1 U5 ^) G7 B& I; P return authenticationInfo; } _$ X1 m3 y1 P7 p* U1 W+ h }

3、Shiro配置类@Configuration 3 ] d3 Y$ O% o5 V/ }+ R public class ShiroConfig { / k6 ?* b5 r3 x0 p" m6 o private final String CACHE_KEY = "shiro:cache:"; private final String SESSION_KEY = "shiro:session:"; + K; M' n: Y+ D: L/ g% O /** $ X, e* K, q( z" x6 v% P * 默认过期时间30分钟，即在30分钟内不进行操作则清空缓存信息，页面即会提醒重新登录 */ 5 G% a6 r5 r' y& Q- ]) l8 ~ private final int EXPIRE = 1800; /** ; Q1 c6 N, ^, Q* ^3 i * Redis配置 */ @Value("${spring.redis.host}") private String host; @Value("${spring.redis.port}") private int port; * ` t) {* t _9 F& B! [8 w @Value("${spring.redis.timeout}") 8 _ n! V! u3 p5 k' ` private int timeout; + q$ U- p( P- @& Z$ r$ W // @Value("${spring.redis.password}") // private String password; 5 a9 C; p8 R$ o1 `. Y- i# z+ o /** * 开启Shiro-aop注解支持：使用代理方式所以需要开启代码支持 6 T- V* \( x0 m* g, l! a* V% v: a */ l. k0 w. H/ B' B0 G% V7 v' x' X @Bean 9 R2 ^" q+ J1 N) a5 O5 r6 o public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) { AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor(); authorizationAttributeSourceAdvisor.setSecurityManager(securityManager); return authorizationAttributeSourceAdvisor; } . Q- @3 Q9 b2 O; W /** * Shiro基础配置 */ @Bean . R" x9 r6 w7 I9 F- u' S public ShiroFilterFactoryBean shiroFilterFactory(SecurityManager securityManager, ShiroServiceImpl shiroConfig){ + s* {$ M* A7 N. s- Y7 _8 @ ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean(); shiroFilterFactoryBean.setSecurityManager(securityManager); ; N4 M# L0 L1 b. x // 自定义过滤器 Map filtersMap = new LinkedHashMap<>(); // 定义过滤器名称 【注：map里面key值对于的value要为authc才能使用自定义的过滤器】 b4 u* C: G8 [; W4 u$ q" B filtersMap.put( "zqPerms", new MyPermissionsAuthorizationFilter() ); 8 i1 L! L2 e8 E( q p* m* T! g8 @ filtersMap.put( "zqRoles", new MyRolesAuthorizationFilter() ); ' t9 D( I0 c$ K- w% h1 f! T filtersMap.put( "token", new TokenCheckFilter() ); shiroFilterFactoryBean.setFilters(filtersMap); 2 a; U R4 R- O4 t5 o4 }3 n // 登录的路径: 如果你没有登录则会跳到这个页面中 - 如果没有设置值则会默认跳转到工程根目录下的"/login.jsp"页面 或 "/login" 映射 shiroFilterFactoryBean.setLoginUrl("/api/auth/unLogin"); % Y2 Z; x" k. e+ ?$ q1 z: C // 登录成功后跳转的主页面 （这里没用，前端vue控制了跳转） % n4 U. ^8 K! z# k# { // shiroFilterFactoryBean.setSuccessUrl("/index"); // 设置没有权限时跳转的url shiroFilterFactoryBean.setUnauthorizedUrl("/api/auth/unauth"); ' I" k- v$ X- I3 K shiroFilterFactoryBean.setFilterChainDefinitionMap( shiroConfig.loadFilterChainDefinitionMap() ); return shiroFilterFactoryBean; 2 ~; m9 X" S& p' w w) f& Z! @6 K } /** * 安全管理器 + I8 u- S% M [2 _ */ @Bean 1 D n1 V" _& O) g6 @ public SecurityManager securityManager() { # L5 E- q2 F- i, z x2 t, W DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(); // 自定义session管理 securityManager.setSessionManager(sessionManager()); // 自定义Cache实现缓存管理 / O. O1 L& P4 }% |6 b. [+ a( \$ z( ] securityManager.setCacheManager(cacheManager()); ' T. `4 M; m! E9 w, U // 自定义Realm验证 securityManager.setRealm(shiroRealm()); a( p! ?) |5 v. O return securityManager; } /** * 身份验证器 */ ; Y4 z# w3 h& D2 D @Bean ; _0 M3 m: x( E0 Y( e& m public ShiroRealm shiroRealm() { ShiroRealm shiroRealm = new ShiroRealm(); + U6 L& t; e7 o4 H- r8 M2 r$ Y+ C shiroRealm.setCredentialsMatcher(hashedCredentialsMatcher()); return shiroRealm; ; P' B* {# t2 R: x1 b5 a } l* P6 v" f+ X2 y$ y. B- m /** * 自定义Realm的加密规则 -> 凭证匹配器：将密码校验交给Shiro的SimpleAuthenticationInfo进行处理,在这里做匹配配置 */ @Bean ) \# @ r* l- p public HashedCredentialsMatcher hashedCredentialsMatcher() { HashedCredentialsMatcher shaCredentialsMatcher = new HashedCredentialsMatcher(); // 散列算法:这里使用SHA256算法; shaCredentialsMatcher.setHashAlgorithmName(SHA256Util.HASH_ALGORITHM_NAME); // 散列的次数，比如散列两次，相当于 md5(md5("")); A$ z% n3 m+ C7 q L# ^4 x shaCredentialsMatcher.setHashIterations(SHA256Util.HASH_ITERATIONS); return shaCredentialsMatcher; } & L1 n, w5 c; p8 Q; } y /** & g5 w; X, E/ a2 c * 配置Redis管理器：使用的是shiro-redis开源插件 % `& @: f. k! k R' E */ % `- K+ Q& H, W @Bean public RedisManager redisManager() { RedisManager redisManager = new RedisManager(); ( J; I0 V1 v; X3 j redisManager.setHost(host); redisManager.setPort(port); redisManager.setTimeout(timeout); // redisManager.setPassword(password); I; a7 q" j( T( a) Z: K. M return redisManager; } 6 |& \8 B) ?1 V: X* @) Q) S* E /** * 配置Cache管理器：用于往Redis存储权限和角色标识 (使用的是shiro-redis开源插件) */ @Bean public RedisCacheManager cacheManager() { RedisCacheManager redisCacheManager = new RedisCacheManager(); , L! k) u( { Y3 f/ T redisCacheManager.setRedisManager(redisManager()); redisCacheManager.setKeyPrefix(CACHE_KEY); // 配置缓存的话要求放在session里面的实体类必须有个id标识 注：这里id为用户表中的主键，否-> 报：User must has getter for field: xx 2 x" y: m0 b* D4 d. Y: \ redisCacheManager.setPrincipalIdFieldName("id"); / ~, R+ e, S! w( d& s9 Q; ? return redisCacheManager; } /** 1 }8 s9 T6 z: ^ * SessionID生成器 , t+ E: ~% L% E$ [1 l */ ' u3 h; l; z& D4 T, y @Bean ! r; M$ Q. L$ }3 p; j: c0 q public ShiroSessionIdGenerator sessionIdGenerator(){ K/ J/ s, ^1 E3 Y return new ShiroSessionIdGenerator(); 7 r2 H/ h) y0 y; @4 _4 ^ } /** * 配置RedisSessionDAO (使用的是shiro-redis开源插件) 3 h% _1 J! Q+ d/ N0 k */ @Bean 2 [& ?" k% z$ |& s' W public RedisSessionDAO redisSessionDAO() { & a) `# v* u* u X- c RedisSessionDAO redisSessionDAO = new RedisSessionDAO(); ) B, V* n4 m' h0 h- l redisSessionDAO.setRedisManager(redisManager()); 2 L3 f/ m( ^4 Z' L& e" x redisSessionDAO.setSessionIdGenerator(sessionIdGenerator()); H, ^0 L) H- l8 f0 M. v( ~$ ` redisSessionDAO.setKeyPrefix(SESSION_KEY); r4 i6 _3 V$ _5 z redisSessionDAO.setExpire(EXPIRE); 7 j+ m$ u. V5 o% ~ return redisSessionDAO; } /** * 配置Session管理器 3 q. S! c$ V/ ?1 z- q; H! m0 i, f */ @Bean 6 g p$ Z E" Q/ G8 a3 A public SessionManager sessionManager() { ShiroSessionManager shiroSessionManager = new ShiroSessionManager(); 7 C7 }- J* H y' Z" t/ X2 | shiroSessionManager.setSessionDAO(redisSessionDAO()); return shiroSessionManager; 0 C) q, \, ] M } }

, B$ d9 r2 E r( w& X' d+ O

三、shiro动态加载权限处理方**oadFilterChainDefinitionMap：初始化权限ex: 在上面Shiro配置类ShiroConfig中的Shiro基础配置shiroFilterFactory方法中我们就需要调用此方法将数据库中配置的所有uri权限全部加载进去，以及放行接口和配置权限过滤器等

【注：过滤器配置顺序不能颠倒，多个过滤器用 , 分割】ex: filterChainDefinitionMap.put("/api/system/user/list", "authc,token,zqPerms[user1]")updatePermission：动态刷新加载数据库中的uri权限 -> 页面在新增uri路径到数据库中，也就是配置新的权限时就可以调用此方法实现动态加载uri权限

1 O5 k- q( M4 v

updatePermissionByRoleId：shiro动态权限加载 -> 即分配指定用户权限时可调用此方法删除shiro缓存，重新执行doGetAuthorizationInfo方法授权角色和权限

! d1 J8 n; A* E) `( v2 @. `

public interface ShiroService { 3 h1 H! |) `, d/ G /** * 初始化权限 -> 拿全部权限 * % ~# G7 @1 h5 q# L" O! k! ^9 z * @param : # c# A& V: j& n( H8 ]. h * @return: java.util.Map , b' [/ a, q1 R) L X4 `$ k% c */ Map loadFilterChainDefinitionMap(); /** * 在对uri权限进行增删改操作时，需要调用此方法进行动态刷新加载数据库中的uri权限 * $ c7 V) O0 `8 q5 {& y * @param shiroFilterFactoryBean 6 p; [( E7 _ P0 N1 y * @param roleId * @param isRemoveSession: * @return: void 8 y. o' P. O5 E3 x/ v, C1 r+ ` */ void updatePermission(ShiroFilterFactoryBean shiroFilterFactoryBean, Integer roleId, Boolean isRemoveSession); /** 6 H1 {* [$ t5 r. Q8 c( j& I& g# `7 v4 v * shiro动态权限加载 -> 原理：删除shiro缓存，重新执行doGetAuthorizationInfo方法授权角色和权限 * 1 x! J5 s6 Z& w8 z * @param roleId * @param isRemoveSession: * @return: void */ void updatePermissionByRoleId(Integer roleId, Boolean isRemoveSession); - {9 Z/ g5 _- Q: L7 p) a! o } @Slf4j - ^/ y' y1 x4 L @Service ! k& y8 x. f8 g+ ]1 n public class ShiroServiceImpl implements ShiroService { : v# o; h( }% P6 k( ^ @Autowired ' O9 m( s6 _$ P+ X" X private MenuMapper menuMapper; ' W- {* \9 e, |3 j2 F$ x, ^' G6 |( I @Autowired private UserMapper userMapper; % e( @7 Y& S1 m0 o @Autowired 5 x8 h3 Y" B9 z/ C, G private RoleMapper roleMapper; : _! S! D/ ]3 n) g/ |& Q/ p" j }( ~9 j @Override 6 e, ^8 u% p2 z, i+ d public Map loadFilterChainDefinitionMap() { $ d5 ]* z- b; Y) k8 Q // 权限控制map Map filterChainDefinitionMap = new LinkedHashMap<>(); " \& ~: K% \6 F // 配置过滤:不会被拦截的链接 -> 放行 start ---------------------------------------------------------- // 放行Swagger2页面，需要放行这些 # k( h, d6 s, D: b filterChainDefinitionMap.put("/swagger-ui.html","anon"); 0 u2 c, T( Z$ S! b- s filterChainDefinitionMap.put("/swagger/**","anon"); % a2 g- Z$ ~+ O6 N8 a. v filterChainDefinitionMap.put("/webjars/**", "anon"); ( r: V* M& D& k6 g8 C2 _ filterChainDefinitionMap.put("/swagger-resources/**","anon"); filterChainDefinitionMap.put("/v2/**","anon"); filterChainDefinitionMap.put("/static/**", "anon"); % P# `$ Q- R6 P) i5 s // 登陆 filterChainDefinitionMap.put("/api/auth/login/**", "anon"); // 三方登录 filterChainDefinitionMap.put("/api/auth/loginByQQ", "anon"); # V- L& e6 |: T9 ?8 I2 W2 n3 @ filterChainDefinitionMap.put("/api/auth/afterlogin.do", "anon"); // 退出 filterChainDefinitionMap.put("/api/auth/logout", "anon"); // 放行未授权接口，重定向使用 $ A7 e9 F/ B7 x5 q- C8 ^ filterChainDefinitionMap.put("/api/auth/unauth", "anon"); 6 Q' }. C% c$ j // token过期接口 9 P3 z; @: Q2 p% q; P: T, G$ y filterChainDefinitionMap.put("/api/auth/tokenExpired", "anon"); 8 f1 B" q' l6 n" e5 |! |, j // 被挤下线 ( F# ~& r' D1 P filterChainDefinitionMap.put("/api/auth/downline", "anon"); // 放行 end ---------------------------------------------------------- ! I; C) q& p# O$ ]8 i- m // 从数据库或缓存中查取出来的url与resources对应则不会被拦截 放行 $ Z) j; X- N7 w; w: z+ m List permissionList = menuMapper.selectList( null ); if ( !CollectionUtils.isEmpty( permissionList ) ) { permissionList.forEach( e -> { if ( StringUtils.isNotBlank( e.getUrl() ) ) { y& \3 Q. U8 }; \- _% c // 根据url查询相关联的角色名,拼接自定义的角色权限 & G9 r, w+ G6 h! F List roleList = roleMapper.selectRoleByMenuId( e.getId() ); / I7 z$ a4 v. p8 x, } StringJoiner zqRoles = new StringJoiner(",", "zqRoles[", "]"); if ( !CollectionUtils.isEmpty( roleList ) ){ roleList.forEach( f -> { zqRoles.add( f.getCode() ); 3 E6 e: T: E1 |5 o* ^" {* @0 | }); 4 A6 \6 W/ _& R9 a' o7 t } // 注意过滤器配置顺序不能颠倒 1 e4 D7 i2 M5 F$ n, f // ① 认证登录 // ② 认证自定义的token过滤器 - 判断token是否有效 // ③ 角色权限 zqRoles：自定义的只需要满足其中一个角色即可访问 ; roles[admin,guest] : 默认需要每个参数满足才算通过，相当于hasAllRoles()方法 & F4 i/ Z- @' W. M, ^0 W // ④ zqPerms:认证自定义的url过滤器拦截权限 【注：多个过滤器用 , 分割】 // filterChainDefinitionMap.put( "/api" + e.getUrl(),"authc,token,roles[admin,guest],zqPerms[" + e.getResources() + "]" ); / i$ \ v2 t/ `' q! g; L filterChainDefinitionMap.put( "/api" + e.getUrl(),"authc,token,"+ zqRoles.toString() +",zqPerms[" + e.getResources() + "]" ); m- a' b2 Z) K( U4 \) f // filterChainDefinitionMap.put("/api/system/user/listPage", "authc,token,zqPerms[user1]"); // 写死的一种用法 - h1 Z# W5 l' q; p4 s( D+ c } ) x% A! A7 a" F' T6 M! p. a; p }); } ) P* W. E7 q4 x // ⑤ 认证登录 【注：map不能存放相同key】 " L) k. i/ g" P4 {& Y, g$ L( o filterChainDefinitionMap.put("/**", "authc"); $ s7 K) ]6 g. x! Q return filterChainDefinitionMap; 5 I2 l4 t# h4 z" t' s: V- w' H1 B } @Override - _9 I( R7 d3 i8 S public void updatePermission(ShiroFilterFactoryBean shiroFilterFactoryBean, Integer roleId, Boolean isRemoveSession) { 9 N' {" f [- i# ^' W3 z synchronized (this) { ) K. z- U& z5 d2 p6 S AbstractShiroFilter shiroFilter; 6 i. j5 }: @ D$ ]+ ` try { " k3 ^, O2 D7 V+ t) C! o" Y' A shiroFilter = (AbstractShiroFilter) shiroFilterFactoryBean.getObject(); ; F2 r0 Z/ E5 Y) P |" R } catch (Exception e) { throw new MyException("get ShiroFilter from shiroFilterFactoryBean error!"); / G+ [7 D/ N9 o4 H5 z, ]4 S } PathMatchingFilterChainResolver filterChainResolver = (PathMatchingFilterChainResolver) shiroFilter.getFilterChainResolver(); DefaultFilterChainManager manager = (DefaultFilterChainManager) filterChainResolver.getFilterChainManager(); $ m2 `( \/ {( E8 g/ b5 ]' ^ // 清空拦截管理器中的存储 4 \$ q1 M8 T$ ]8 g6 g' ] manager.getFilterChains().clear(); * C) p0 k [- B5 P1 G' z( f // 清空拦截工厂中的存储,如果不清空这里,还会把之前的带进去 // ps:如果仅仅是更新的话,可以根据这里的 map 遍历数据修改,重新整理好权限再一起添加 ) N K6 m5 u x0 h/ A: \ E shiroFilterFactoryBean.getFilterChainDefinitionMap().clear(); - G' J1 ^1 q$ b$ B8 C' T( S // 动态查询数据库中所有权限 shiroFilterFactoryBean.setFilterChainDefinitionMap(loadFilterChainDefinitionMap()); ; V+ u5 \8 x/ i // 重新构建生成拦截 Map chains = shiroFilterFactoryBean.getFilterChainDefinitionMap(); # f8 L* v0 X* A2 p. P$ R for (Map.Entry entry : chains.entrySet()) { manager.createChain(entry.getKey(), entry.getValue()); } log.info("--------------- 动态生成url权限成功！ ---------------"); // 动态更新该角色相关联的用户shiro权限 ! \+ ]5 D8 y4 t if(roleId != null){ % j0 Q, d+ e" |3 Q& t updatePermissionByRoleId(roleId,isRemoveSession); } 0 j1 `9 ~8 @0 E4 y; A7 S } } @Override , }% |# l! I* O5 x5 S1 g( k/ ? public void updatePermissionByRoleId(Integer roleId, Boolean isRemoveSession) { // 查询当前角色的用户shiro缓存信息 -> 实现动态权限 $ E' Z" O, P1 B( {- F3 B List userList = userMapper.selectUserByRoleId(roleId); \ e" M' A1 h$ s5 ?! A // 删除当前角色关联的用户缓存信息,用户再次访问接口时会重新授权 ; isRemoveSession为true时删除Session -> 即强制用户退出 ' c, Y( X1 T( I- i6 `# P if ( !CollectionUtils.isEmpty( userList ) ) { ) d1 f5 Q+ e- u7 [5 e for (User user : userList) { ShiroUtils.deleteCache(user.getUsername(), isRemoveSession); 7 ^ w6 E) o2 f9 n7 { } - D! X3 O, N8 G' }" }1 \ } . U5 z' p5 E/ N ^" `9 ~, M" J log.info("--------------- 动态修改用户权限成功！ ---------------"); } 5 M, v' G L5 X }

四、shiro中自定义角色、权限过滤器1、自定义uri权限过滤器 zqPerms@Slf4j ; j/ `& o l4 D# O6 ?7 i public class MyPermissionsAuthorizationFilter extends PermissionsAuthorizationFilter { @Override protected boolean onAccessDenied(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception { HttpServletRequest httpRequest = (HttpServletRequest) request; HttpServletResponse httpResponse = (HttpServletResponse) response; String requestUrl = httpRequest.getServletPath(); log.info("请求的url: " + requestUrl); // 检查是否拥有访问权限 Subject subject = this.getSubject(request, response); if (subject.getPrincipal() == null) { this.saveRequestAndRedirectToLogin(request, response); 1 y9 \8 W8 l6 n } else { ! ?4 A* y6 ~; f6 g* |8 ^; q // 转换成http的请求和响应 $ N1 h6 D& B: k7 l7 _0 p& m) h/ k HttpServletRequest req = (HttpServletRequest) request; HttpServletResponse resp = (HttpServletResponse) response; // 获取请求头的值 String header = req.getHeader("X-Requested-With"); // ajax 的请求头里有X-Requested-With: XMLHttpRequest 正常请求没有 $ g5 L+ [; f2 r' E# p; o' p' I if (header!=null && "XMLHttpRequest".equals(header)){ resp.setContentType("text/json,charset=UTF-8"); resp.getWriter().print("{\"success\":false,\"msg\":\"没有权限操作！\"}"); 4 O; g w1 E# C5 z% f l }else { //正常请求 / N# }* G& U; |2 L [/ B String unauthorizedUrl = this.getUnauthorizedUrl(); if (StringUtils.hasText(unauthorizedUrl)) { , H, B) v5 B1 _) w3 ?+ w WebUtils.issueRedirect(request, response, unauthorizedUrl); } else { : |3 l% Q+ I4 ^ z' _. b WebUtils.toHttp(response).sendError(401); W' Q3 L$ Z+ } } $ h9 }" h: S5 k } 9 S0 E% c6 l) O( O% B$ |& X } 3 l) I6 z6 o$ O( ?* [3 m; e return false; } $ a' o; X8 y1 Q$ ^+ z } 2 N; E) h- i8 i7 Q

: r( _: S7 x$ u8 v/ ^6 l

2、自定义角色权限过滤器 zqRolesshiro原生的角色过滤器RolesAuthorizationFilter 默认是必须同时满足roles[admin,guest]才有权限，而自定义的zqRoles 只满足其中一个即可访问

7 e8 S# T! y4 q* I+ A- J! \

ex: zqRoles[admin,guest]public class MyRolesAuthorizationFilter extends AuthorizationFilter { - q# w' Y$ v6 H' x$ d1 j- e @Override protected boolean isAccessAllowed(ServletRequest req, ServletResponse resp, Object mappedValue) throws Exception { Subject subject = getSubject(req, resp); 8 K- O6 z1 }: q4 }2 d6 H% p String[] rolesArray = (String[]) mappedValue; // 没有角色限制，有权限访问 7 T2 I ^0 r+ |1 W* x if (rolesArray == null || rolesArray.length == 0) { - c! z4 L- J; b return true; } for (int i = 0; i < rolesArray.length; i++) { 8 h* Z( m3 C/ T# m8 i //若当前用户是rolesArray中的任何一个，则有权限访问 if (subject.hasRole(rolesArray[i])) { return true; 7 c! W4 t/ E" ^+ p( x6 `7 f+ D } } 5 D1 c: U# F) s U6 w9 f. y return false; ; g: v0 e0 s. ?' ^$ g } }

3、自定义token过滤器 token -> 判断token是否过期失效等@Slf4j 1 \& m, g+ q- P4 f ^/ u public class TokenCheckFilter extends UserFilter { 6 p9 v/ Q8 I% H* { /** 6 W4 T5 N) X& n1 G0 v" ^8 a * token过期、失效 ) m% e) |" F& w4 y$ d */ private static final String TOKEN_EXPIRED_URL = "/api/auth/tokenExpired"; ; o' |: S# `6 v# _* M9 f& R /** * 判断是否拥有权限 true:认证成功 false:认证失败 * mappedValue 访问该url时需要的权限 * subject.isPermitted 判断访问的用户是否拥有mappedValue权限 + v- E9 f: V8 e, L5 V, z5 ~ */ : k/ q1 r! e! `& o4 `' u& Z# N @Override 4 B7 {, [# P- _, b( @' N3 n3 N public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) { / W! j* F9 b. m' |' Q HttpServletRequest httpRequest = (HttpServletRequest) request; 6 ^: a$ Q2 I& o+ } HttpServletResponse httpResponse = (HttpServletResponse) response; N) l1 \: E1 y- ?, ~' u // 根据请求头拿到token String token = WebUtils.toHttp(request).getHeader(Constants.REQUEST_HEADER); 4 _3 D! ~7 v5 ?# Q. d log.info("浏览器token：" + token ); 8 V* S2 A, G, s' i/ i/ P! D6 M) ^ User userInfo = ShiroUtils.getUserInfo(); 9 q7 |. W3 \6 k5 O% q9 X1 w4 v String userToken = userInfo.getToken(); // 检查token是否过期 if ( !token.equals(userToken) ){ return false; 6 ]/ P2 R; o$ J ^ } ! D( j1 s2 d% ^2 ] return true; } ! z; @/ k' ^3 R6 D /** * 认证失败回调的方法: 如果登录实体为null就保存请求和跳转登录页面,否则就跳转无权限配置页面 4 a, }, I0 _! B% w) C, ]2 y9 `0 a4 e */ 6 ~8 n8 P) T6 ?+ c& _ @Override protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws IOException { 2 [ a1 \% T/ M User userInfo = ShiroUtils.getUserInfo(); // 重定向错误提示处理 - 前后端分离情况下 5 B! _4 @" G6 i: J' F0 I4 K WebUtils.issueRedirect(request, response, TOKEN_EXPIRED_URL); return false; 1 D; e( s: g' w } }

五、项目中会用到的一些工具类、常量等温馨小提示：这里只是部分，详情可参考文章末尾给出的案例demo源码1、Shiro工具类public class ShiroUtils { 1 F' D& s4 j8 s+ S /** 私有构造器 **/ $ y v. u5 Z& W2 G3 v& |1 V private ShiroUtils(){ } " Q9 C* i) t8 e; W1 s( T2 i8 g3 L private static RedisSessionDAO redisSessionDAO = SpringUtil.getBean(RedisSessionDAO.class); /** * 获取当前用户Session . \" m6 I3 C N, E2 ~1 P7 P. }7 E% h * @Return SysUserEntity 用户信息 */ public static Session getSession() { , Q6 Z; `: h0 y1 i0 H9 g return SecurityUtils.getSubject().getSession(); } $ Y- u3 G$ B V/ [) a! M /** * 用户登出 9 h0 p; \% D$ G+ _+ P4 v* ^ */ public static void logout() { SecurityUtils.getSubject().logout(); } - q2 n c" [; {% Y, A q5 }8 b1 W /** . X; O9 ~: _; s0 @ * 获取当前用户信息 + h5 w' i0 e, E$ { * @Return SysUserEntity 用户信息 $ p8 T; \7 e! t */ public static User getUserInfo() { return (User) SecurityUtils.getSubject().getPrincipal(); 0 S1 m: W0 U3 ]/ O; C } /** " R* ]+ h" F7 ]; h& o * 删除用户缓存信息 ! `; W# {) s! r- U' f+ F7 A * @Param username 用户名称 ' J, Q) M* U3 { * @Param isRemoveSession 是否删除Session，删除后用户需重新登录 */ public static void deleteCache(String username, boolean isRemoveSession){ + q: r' b7 ]0 N# M+ @4 j //从缓存中获取Session Session session = null; / q# _' {7 y( x9 w( m% \ // 获取当前已登录的用户session列表 0 q+ u, I0 h! d; t- ^& [. N' x Collection sessions = redisSessionDAO.getActiveSessions(); User sysUserEntity; * O: t* t9 g& K" {- B& C) R# V5 K Object attribute = null; 2 F, M5 h5 K. w2 o // 遍历Session,找到该用户名称对应的Session 8 o; k$ q I' I- @7 c, J6 [ for(Session sessionInfo : sessions){ 2 D( N( a' }( _3 d attribute = sessionInfo.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY); if (attribute == null) { ' s8 d/ x- }" Q/ R( d, S+ b continue; 5 n% d" m# x# g/ k; X } 9 r7 o3 s; X' Q5 n$ H6 | sysUserEntity = (User) ((SimplePrincipalCollection) attribute).getPrimaryPrincipal(); if (sysUserEntity == null) { 6 |) \% @( g" |( q0 M8 r3 Q; r continue; } if (Objects.equals(sysUserEntity.getUsername(), username)) { # T8 @6 t1 ]. ?- z+ P session=sessionInfo; // 清除该用户以前登录时保存的session，强制退出 -> 单用户登录处理 if (isRemoveSession) { redisSessionDAO.delete(session); } } } if (session == null||attribute == null) { return; 0 R! D3 W0 S; W+ V; T& V- J8 x8 b } 9 S9 t9 S6 j* I( ~ _* l% q //删除session t+ {4 ?( n O/ P* i" ^4 b if (isRemoveSession) { redisSessionDAO.delete(session); P; r: z1 M8 H8 b6 J0 B } //删除Cache，再访问受限接口时会重新授权 DefaultWebSecurityManager securityManager = (DefaultWebSecurityManager) SecurityUtils.getSecurityManager(); Authenticator authc = securityManager.getAuthenticator(); 5 S$ t5 [ i4 _" o3 A* A ((LogoutAware) authc).onLogout((SimplePrincipalCollection) attribute); 1 s" h1 N# J% U1 d* R9 m) c8 V } /** * 从缓存中获取指定用户名的Session 0 \. ]; R+ k& O' \ * @param username ' C+ v' ?7 c0 K) r P% g! W" \ */ private static Session getSessionByUsername(String username){ // 获取当前已登录的用户session列表 8 D+ o* m3 U4 N1 }% w1 c Collection sessions = redisSessionDAO.getActiveSessions(); User user; Object attribute; 7 b3 g/ Q/ p( C- i6 | // 遍历Session,找到该用户名称对应的Session for(Session session : sessions){ 6 `2 e: D, T0 n o) T attribute = session.getAttribute(DefaultSubjectContext.PRINCIPALS_SESSION_KEY); . `) Q/ R* z9 p- r0 k" c" A) M/ d- v2 _ if (attribute == null) { continue; 5 A% |% r: s7 E } 6 h- a$ ~% ]9 x$ k/ A user = (User) ((SimplePrincipalCollection) attribute).getPrimaryPrincipal(); , r' U! s$ I6 x; P- h& _ if (user == null) { continue; , N5 A$ G: M. h, J+ A+ ?6 Z/ d- H } 1 d& q0 D* M. d. V' s( Z7 V/ Y4 T3 Q if (Objects.equals(user.getUsername(), username)) { $ |& W7 G* `# O/ o7 _" k* \. } return session; 4 W: m4 Y1 l; H7 c5 y } & {# @/ p$ v f# b7 n" v0 K } 6 T: P+ ~ F" |7 N' ~ return null; * U( G/ G( g2 x. w4 N: y' x } }

2、Redis常量类public interface RedisConstant { /** . T# C' j! u7 c3 L- }& e2 `$ d * TOKEN前缀 % I ^# w5 L8 u% { */ 5 e9 a# W' D: ` String REDIS_PREFIX_LOGIN = "code-generator_token_%s"; }

3、Spring上下文工具类@Component 0 Y) y5 A: ` W9 Q0 V( q' x public class SpringUtil implements ApplicationContextAware { $ z/ e& U8 z1 F$ B& ? private static ApplicationContext context; " V4 N% N: C% f& z /** * Spring在bean初始化后会判断是不是ApplicationContextAware的子类 9 |# z0 R. n& L+ L h5 V * 如果该类是,setApplicationContext()方法,会将容器中ApplicationContext作为参数传入进去 */ ! O6 L$ ~ M7 m2 l+ k1 p+ V9 l$ [ @Override 3 c8 S7 h5 Z8 q; K' W1 B! m public void setApplicationContext(ApplicationContext applicationContext) throws BeansException { . I1 `. m* M0 H4 W$ ]: X, S% ? context = applicationContext; } " I- Z3 [. X8 x$ a$ ^ /** * 通过Name返回指定的Bean */ public static T getBean(Class beanClass) { return context.getBean(beanClass); } ( }4 B. i1 c i. c0 t& e9 V- E. j% w }

六、案例demo源码GitHub地址：https://github.com/zhengqingya/code-generator/tree/master/code-generator-api/src/main/java/com/zhengqing/modules/shiro

# ~+ s [* O5 s6 V8 l2 E3 F

码云地址：https://gitee.com/zhengqingya/code-generator/blob/master/code-generator-api/src/main/java/com/zhengqing/modules/shiro

/ G: {8 t9 E1 n$ Z# B4 c

这个思路很新颖，打开了新世界的大门，谢谢分享

这个分享太实用了，刚好能用到，感谢楼主！

分析得很透彻，很多细节都说到点子上了～