摘要：
设置可用“,”隔开，如：/admin/test=authc,roles[admin]--˃ /home=authc/resources/**=anon另外一种是基于注解：例如：RequiresAuthentication注解RequiresAuthentication注解要求在访问或调用被注解的类/实例/方法时，Subject在当前的session中已经被验证。@RequiresPermissionspublicvoidcreateAccount{//thismethodwillonlybeinvokedbyaSubject//thatispermittedtocreateanaccount...}RequiresRoles注解RequiresPermissions注解要求当前Subject在执行被注解的方法时具备所有的角色，否则将抛出AuthorizationException异常。@RequiresRolespublicvoiddeleteUser{//thismethodwillonlybeinvokedbyanadministrator...}如果在Controller中如果直接使用上面标签是不起作用的，需要开启shiro注解bean/˃˂!
shiro验证权限方式一种是基于url配置文件：
例如：
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"> <property name="securityManager" ref="securityManager"/> <!-- 登录页面 ，用户 登录不成功自动 返回该页面 --> <property name="loginUrl" value="/login"/> <!-- 登录成功页面，登录成功后跳转到该页面 --> <property name="successUrl" value="/index"/> <!-- 无权访问跳转页面 --> <property name="unauthorizedUrl" value="permNo"/> <!--自定义权限页面设置url的访问权限。anon表示不用验证， 都可以访问。anthc：authc filter 监听，不登陆不能访问。logout：logout filter监听。 没有列出的常用配置：perms["remote:invoke"] ：需要角色romote 和权限invoke才能访问。roles["admin"]需要角色admin才能访问。设置可用“,”隔开， 如：/admin/test = authc,roles[admin] --> <property name="filterChainDefinitions"> <value> <!-- 无参,表示需认证才能使用 --> /home=authc /resources/**=anon </value> </property> </bean>
另外一种是基于注解：
例如：
RequiresAuthentication注解RequiresAuthentication注解要求在访问或调用被注解的类/实例/方法时，Subject在当前的session中已经被验证。
@RequiresAuthentication public voidupdateAccount(Account userAccount) { //this method will only be invoked by a //Subject that is guaranteed authenticated ... }
RequiresGuest注解要求当前Subject是一个“访客”，也就是，在访问或调用被注解的类/实例/方法时，他们没有被认证或者在被前一个Session记住。
@RequiresGuest public voidsignUp(User newUser) { //this method will only be invoked by a //Subject that is unknown/anonymous ... }
RequiresPermissions 注解要求当前Subject在执行被注解的方法时具备一个或多个对应的权限。
@RequiresPermissions("account:create") public voidcreateAccount(Account account) { //this method will only be invoked by a Subject //that is permitted to create an account ... }
RequiresPermissions 注解要求当前Subject在执行被注解的方法时具备所有的角色，否则将抛出AuthorizationException异常。
@RequiresRoles("administrator") public voiddeleteUser(User user) { //this method will only be invoked by an administrator ... }
如果在Controller中如果直接使用上面标签是不起作用的，需要开启shiro注解
bean />
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"> <property name="realm" ref="myRealm"/> </bean> <!--========================-如果使用注解方式验证将下面代码放开===============================--> <!-- 保证实现了Shiro内部lifecycle函数的bean执行 --> <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/> <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"> <property name="proxyTargetClass" value="true" /> </bean> <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"> <property name="securityManager" ref="securityManager"/> </bean> <bean class="org.springframework.web.servlet.handler.SimpleMappingExceptionResolver"> <property name="exceptionMappings"> <props> <!--登录--> <prop key="org.apache.shiro.authz.UnauthenticatedException">redirect:/login </prop> <!--授权--> <prop key="org.apache.shiro.authz.UnauthorizedException">redirect:/admin/common/exceptionLog </prop> </props> </property> <property name="defaultErrorView" value="error/genericView"/> </bean>
其中com.controller.MyRealm类是我自定义的继承自AuthorizingRealm的类