在线演示
用户名：admin 密码：admin
技术背景
当前，我们基于导航菜单的显示和操作按钮的禁用状态，实现了页面可见性和操作可用性的权限验证，或者叫访问控制。但这仅限于页面的显示和操作，我们的后台接口还是没有进行权限的验证，只要知道了后台的接口信息，就可以直接通过swagger或自行发送ajax请求成功调用后台接口，这是非常危险的。接下来，我们就基于Shiro的注解式权限控制方案，来给我们的后台接口提供权限保护。
权限注解
Shiro总共有5个权限注解，实现了不同的权限控制策略。
当前Subject需要拥有某些特定的权限时，才能执行被该注解标注的方法。如果当前Subject不具有这样的权限，则方法不会被执行。
这是基于资源权限方式的权限控制主要方案，也是我们项目中进行权限控制使用的注解方案。
当前Subject必须拥有所有指定的角色时，才能访问被该注解标注的方法。如果当天Subject不同时拥有所有指定角色，则方法不会执行还会抛出AuthorizationException异常。
当前Subject必须是应用的用户，才能访问或调用被该注解标注的类，实例，方法。
使用该注解标注的类，实例，方法在访问或调用时，当前Subject必须在当前session中已经过认证。
使用该注解标注的类，实例，方法在访问或调用时，当前Subject可以是”gust”身份，不需要经过认证或者在原先的session中存在记录。
Shiro的认证注解处理具有内定处理顺序，如有多个注解，会按照下面优先级逐个检查，只有所有检查通过才允许访问：
- RequiresRoles
- RequiresPermissions
- RequiresAuthentication
- RequiresUser
- RequiresGuest
代码实现
打开kitty-admin工程，找到shiro配置类。添加如下内容，主要作用是开启Shiro的权限注解。
Shiro通过AOP方式拦截被权限注解的类或方法，然后匹配权限注解值和用户权限列表进行验证。
ShiroConfig.java
以菜单管理接口为例，添加 @RequiresPermissions(“权限标识”) 标识即可。
这个权限标识就是我们的菜单表中对应的权限标识字段（perms）对应的值。
SysMenuController.java
测试效果
启动服务，通过Swagger分别使用超级管理员和测试人员角色账户访问接口，发现admin可以正常访问，无权限的账户访问返回如下权限验证失败信息。
原理剖析
首先在Shiro配置的时候，我们配置了一个 AuthorizationAttributeSourceAdvisor 类。
在 AuthorizationAttributeSourceAdvisor 类中，我们看到了有关五个权限注解的信息，以及关联一个拦截器 AopAllianceAnnotationsAuthorizingMethodInterceptor。
在 AopAllianceAnnotationsAuthorizingMethodInterceptor 中，我们看到了关联了五种权限控制注解对象的拦截器，这样在添加了权限注解的方法被调用时，就会被对应的拦截器拦截，并进行相关的权限验证。
接口被调用时，AOP拦截器 AopAllianceAnnotationsAuthorizingMethodInterceptor 的invoke方法被调用。
调用父类 AuthorizingMethodInterceptor 的 invoke 方法。
调用 AopAllianceAnnotationsAuthorizingMethodInterceptor 的 assertAuthorized 方法。
调用 AuthorizingAnnotationMethodInterceptor 的 assertAuthorized 方法。
调用 PermissionAnnotationHandler 的 assertAuthorized 方法。
调用 DelegatingSubject 的 checkPermission方法。
调用 AuthorizingSecurityManager 的 checkPermission方法。
调用 ModularRealmAuthorizer 的 checkPermission方法。
调用 AuthorizingRealm 的 isPermitted方法。
调用我们自定义的 OAuth2Realm 的 doGetAuthorizationInfo 方法，也是返回自定义权限验证的逻辑。
AuthorizingRealm 查询到用户权限信息，将注解权限值跟用户权限信息列表进行匹配，决定权限验证是否通过。
到这里，关于Shiro注解式权限控制方案的配置和执行流程就剖析的差不多了。
源码下载
Original: https://www.cnblogs.com/xifengxiaoma/p/9983835.html
Author: 朝雨忆轻尘
Title: Spring Boot + Spring Cloud 实现权限管理系统 后端篇（二十四）：权限控制（Shiro 注解）
原创文章受到原创版权保护。转载请注明出处：https://www.johngo689.com/540361/
转载文章受原作者版权保护。转载请注明原作者出处！