Shiro中的授权问题(二)

上篇博客(Shiro中的授权问题 )我们介绍了Shiro中最最基本的授权问题，以及常见的权限字符的匹配问题。但是这里边还有许多细节需要我们继续介绍，本节我们就来看看Shiro中授权的一些细节问题。

验证流程

首先我们要搞明白整个的验证流程是什么样子的。
在上篇博客(Shiro中的授权问题 )中，我们验证Subject是否具备某项权限的时候使用的是isPermitted方法，但是在上上篇博客(初识Shiro )中，我们也说过，Subject只是Shiro中的一个门面而已，最终所有的操作都是委托给SecurityManager来处理的，那么这里也一样，我们调用了Subject的isPermitted方法，该方法会将验证操作委托给SecurityManager，SecurityManager又会将验证操作委托给Authorizer，Authorizer是我们这里真正的授权者，当我们调用isPermitted方法的时候，Authorizer首先会将我们传入的权限字符串转为相应的Permission实例，同时，系统也会调用Realm来获取Subject相应的角色或者权限，然后Authorizer会将我们传入的权限/角色和Realm中的权限/角色进行比对验证，而我们如果有多个Realm，则这个比对的操作又会被委托给ModularRealmAuthorizer进行循环判断，在判断的过程中，如果匹配成功就会返回true，否则返回false表示授权失败。

实例

OK，基于上文我们对授权过程的介绍，我们来自定义几个东西。验证一下我们上文的说法。在自定义之前，我们还是先来了解几个概念：Authorizer在Shiro中扮演的职责是授权，即访问控制，Authorizer提供了我们进行角色、权限判断时需要的接口等，我们常说的SecurityManager继承了Authorizer，还有一个类叫做PermissionResolver用于解析权限字符串到Permission实例，RolePermissionResolver则用于根据角色解析相应的权限集合，了解了这几个类的功能之后，我们来看看下面的自定义问题。
不知道小伙伴们对Linux中的权限机制是否有了解，Linux中用1、2、4三个数字分别表示一个文件的可读可写可执行三种权限，如果想要文件获取多个权限，将对应的数字相加即可。OK，那么我们这里就参考这种模式，我来定义一个权限模型：
假设我用0表示所有权限，1表示create权限，2表示update权限，4表示delete权限，8表示view权限，然后在实际应用中，我用数字之和来表示资源所具备的权限，比如3表示该资源既有create权限又有update权限，10表示该资源既有update权限又有view权限，然后权限的定义以$符号开始，资源和权限之间以$符号分隔。OK，基于此，我们来看看如果自定义权限处理机制。

自定义权限策略

自定义Permission类实现Permission接口：

public class BitPermission implements Permission {
    private String resourceIdentify;
    private int permissionBit;
    private String instanceId;

    public BitPermission(String permissionString) {
        String[] array = permissionString.split("$");
        if (array.length > 1) {
            resourceIdentify = array[1];
        }
        if (resourceIdentify == null || "".equals(resourceIdentify)) {
            resourceIdentify = "*";
        }
        if (array.length > 2) {
            permissionBit = Integer.valueOf(array[2]);
        }
        if (array.length > 3) {
            instanceId = array[3];
        }
        if (instanceId == null || "".equals(instanceId)) {
            instanceId = "*";
        }

    }

    public boolean implies(Permission p) {
        if (!(p instanceof BitPermission)) {
            return false;
        }
        BitPermission bitPermission = (BitPermission) p;
        if (!("*".equals(resourceIdentify) || this.resourceIdentify.equals(bitPermission.resourceIdentify))) {
            return false;
        }
        if (!(this.permissionBit == 0 || (this.permissionBit & bitPermission.permissionBit) != 0)) {
            return false;
        }
        if (!("*".equals(this.instanceId) || this.instanceId.equals(bitPermission.instanceId))) {
            return false;
        }
        return true;
    }
}

OK，这个是我们自定义的权限解析类，该类中有一个implies方法用来执行权限匹配操作，然后我们还需要提供了一个PermissionResolver类，该类将权限字符串解析为相应的类。如下：

public class BitAndWildPermissionResolver implements PermissionResolver {
    public Permission resolvePermission(String permissionString) {
        if (permissionString.startsWith("$")) {
            return new BitPermission(permissionString);
        }
        return new WildcardPermission(permissionString);
    }
}

我们在这里进行简单的判断，如果权限字符串是以$开始的，我们使用自定义的BitPermission进行解析，如果是其他普通的权限字符串，我们就创建WildcardPermission即可。然后我们自定义需要的Realm，在Realm中定义权限，如下：

public class MyRealm extends AuthorizingRealm {
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.addObjectPermission(new BitPermission("$user1$14"));
        authorizationInfo.addStringPermission("$user2$10");
        return authorizationInfo;
    }

    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        String password = new String(((char[]) token.getCredentials()));
        if (!"wang".equals(username)) {
            //用户名错误
            throw new UnknownAccountException();
        }
        if (!"123".equals(password)) {
            //密码错误
            throw new IncorrectCredentialsException();
        }
        return new SimpleAuthenticationInfo(username, password, getName());
    }
}

这里我定义了两种权限，一个是$user1$14，表示了create(2),delete(4)和view(8)三种权限；还有一个是$user2$10，表示了create(2)和view(8)两种权限。然后我们来看看在ini文件中如何配置：

[main]
authorizer=org.apache.shiro.authz.ModularRealmAuthorizer
permissionResolver= org.sang.BitAndWildPermissionResolver
authorizer.permissionResolver=$permissionResolver
securityManager.authorizer=$authorizer
realm= org.sang.MyRealm
securityManager.realms=$realm

我们来看看测试代码：

    @Test
    public void test99() {
        login("classpath:shiro-custom.ini", "wang", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("$user1$2"));//OK
        Assert.assertTrue(subject.isPermitted("$user1$8"));//OK
        Assert.assertTrue(subject.isPermitted("$user2$10"));//OK
        Assert.assertTrue(subject.isPermitted("$user1$4"));//OK
    }

测试结果如下：

绿色表示运行都是OK的。
OK，除了上面 这种自定义的形式之外，我们还可以自定义role解析，根据role的字符串解析出role中的权限集合。

自定义角色解析策略

我们也可以自己来设计角色解析策略，如下：

public class MyRolePermissionResolver implements RolePermissionResolver {
    public Collection<Permission> resolvePermissionsInRole(String roleString) {
        if ("role1".equals(roleString)) {
            return Arrays.asList(((Permission) new WildcardPermission("menu:*")));
        }
        return null;
    }
}

如果用户具有role1角色，那么我让他具有menu:*权限，OK，然后我在Realm中增加两个权限，新的Realm类如下：

public class MyRealm extends AuthorizingRealm {
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        authorizationInfo.addRole("role1");
        authorizationInfo.addRole("role2");
        authorizationInfo.addObjectPermission(new BitPermission("$user1$14"));
        authorizationInfo.addObjectPermission(new WildcardPermission("user1:*"));
        authorizationInfo.addStringPermission("$user2$10");
        authorizationInfo.addStringPermission("user2:*");
        return authorizationInfo;
    }

    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        String password = new String(((char[]) token.getCredentials()));
        if (!"wang".equals(username)) {
            //用户名错误
            throw new UnknownAccountException();
        }
        if (!"123".equals(password)) {
            //密码错误
            throw new IncorrectCredentialsException();
        }
        return new SimpleAuthenticationInfo(username, password, getName());
    }
}

我让用户具备role1、role2角色，同时还为之添加了两个普通的权限、user1:*和user2:*,这个时候我要稍微修改一个我的ini文件，如下：

[main]
authorizer=org.apache.shiro.authz.ModularRealmAuthorizer
permissionResolver= org.sang.BitAndWildPermissionResolver
authorizer.permissionResolver=$permissionResolver
rolePermissionResolver= org.sang.MyRolePermissionResolver
authorizer.rolePermissionResolver=$rolePermissionResolver
securityManager.authorizer=$authorizer
realm= org.sang.MyRealm
securityManager.realms=$realm

新的测试代码如下：

 @Test
    public void test99() {
        login("classpath:shiro-custom.ini", "wang", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user1:update"));//OK
        Assert.assertTrue(subject.isPermitted("user2:update"));//OK
        Assert.assertTrue(subject.isPermitted("$user1$2"));//OK
        Assert.assertTrue(subject.isPermitted("$user1$8"));//OK
        Assert.assertTrue(subject.isPermitted("$user2$10"));//OK
        Assert.assertTrue(subject.isPermitted("$user1$4"));//OK
        Assert.assertTrue(subject.isPermitted("menu:view"));//OK
    }

测试结果如下：

OK，以上就是Shiro中自定义授权的问题。

本文案例 下载：
https://github.com/lenve/Shiro/tree/master/Shiro2

更多JavaWeb资料，请移步这里：
https://github.com/lenve/JavaEETest

参考资料：
张开涛大神的《跟我学Shiro》，原文连接http://jinnianshilongnian.iteye.com/blog/2018398

关注公众号【江南一点雨】，专注于 Spring Boot+微服务以及前后端分离等全栈技术，定期视频教程分享，关注后回复 Java ，领取松哥为你精心准备的 Java 干货！

以上。