具体请参考

sql/ shiro-schema.sql （表结构）

sql/ shiro-data.sql  （初始数据）

默认用户名/密码是admin/123456。

实体

具体请参考com.github.zhangkaitao.shiro.chapter16.entity包下的实体，此处就不列举了。

DAO

具体请参考com.github.zhangkaitao.shiro.chapter16.dao包下的DAO接口及实现。

Service

具体请参考com.github.zhangkaitao.shiro.chapter16.service包下的Service接口及实现。以下是出了基本CRUD之外的关键接口：

public interface ResourceService {Set<String> findPermissions(Set<Long> resourceIds); //得到资源对应的权限字符串List<Resource> findMenus(Set<String> permissions); //根据用户权限得到菜单
}

public interface RoleService {Set<String> findRoles(Long... roleIds); //根据角色编号得到角色标识符列表Set<String> findPermissions(Long[] roleIds); //根据角色编号得到权限字符串列表
}

public interface UserService {public void changePassword(Long userId, String newPassword); //修改密码public User findByUsername(String username); //根据用户名查找用户public Set<String> findRoles(String username);// 根据用户名查找其角色public Set<String> findPermissions(String username);// 根据用户名查找其权限
} 

Service实现请参考源代码，此处就不列举了。

UserRealm实现     

public class UserRealm extends AuthorizingRealm {@Autowired private UserService userService;protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {String username = (String)principals.getPrimaryPrincipal();SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();authorizationInfo.setRoles(userService.findRoles(username));authorizationInfo.setStringPermissions(userService.findPermissions(username));System.out.println(userService.findPermissions(username));return authorizationInfo;}protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {String username = (String)token.getPrincipal();User user = userService.findByUsername(username);if(user == null) {throw new UnknownAccountException();//没找到帐号}if(Boolean.TRUE.equals(user.getLocked())) {throw new LockedAccountException(); //帐号锁定}return new SimpleAuthenticationInfo(user.getUsername(), //用户名user.getPassword(), //密码ByteSource.Util.bytes(user.getCredentialsSalt()),//salt=username+saltgetName()  //realm name);}
}

此处的UserRealm和《第六章Realm及相关对象》中的UserRealm类似，通过UserService获取帐号及角色/权限信息。

Web层控制器 

@Controller
public class IndexController {@Autowiredprivate ResourceService resourceService;@Autowiredprivate UserService userService;@RequestMapping("/")public String index(@CurrentUser User loginUser, Model model) {Set<String> permissions = userService.findPermissions(loginUser.getUsername());List<Resource> menus = resourceService.findMenus(permissions);model.addAttribute("menus", menus);return "index";}
} 

IndexController中查询菜单在前台界面显示，请参考相应的jsp页面；

@Controller
public class LoginController {@RequestMapping(value = "/login")public String showLoginForm(HttpServletRequest req, Model model) {String exceptionClassName = (String)req.getAttribute("shiroLoginFailure");String error = null;if(UnknownAccountException.class.getName().equals(exceptionClassName)) {error = "用户名/密码错误";} else if(IncorrectCredentialsException.class.getName().equals(exceptionClassName)) {error = "用户名/密码错误";} else if(exceptionClassName != null) {error = "其他错误：" + exceptionClassName;}model.addAttribute("error", error);return "login";}
} 

LoginController用于显示登录表单页面，其中shiro authc拦截器进行登录，登录失败的话会把错误存到shiroLoginFailure属性中，在该控制器中获取后来显示相应的错误信息。 

@RequiresPermissions("resource:view")
@RequestMapping(method = RequestMethod.GET)
public String list(Model model) {model.addAttribute("resourceList", resourceService.findAll());return "resource/list";
} 

在控制器方法上使用@RequiresPermissions指定需要的权限信息，其他的都是类似的，请参考源码。

Web层标签库

com.github.zhangkaitao.shiro.chapter16.web.taglib.Functions提供了函数标签实现，有根据编号显示资源/角色/组织机构名称，其定义放在src/main/webapp/tld/zhang-functions.tld。

Web层异常处理器 

@ControllerAdvice
public class DefaultExceptionHandler {@ExceptionHandler({UnauthorizedException.class})@ResponseStatus(HttpStatus.UNAUTHORIZED)public ModelAndView processUnauthenticatedException(NativeWebRequest request, UnauthorizedException e) {ModelAndView mv = new ModelAndView();mv.addObject("exception", e);mv.setViewName("unauthorized");return mv;}
} 

如果抛出UnauthorizedException，将被该异常处理器截获来显示没有权限信息。

Spring配置——spring-config.xml

定义了context:component-scan来扫描除web层的组件、dataSource（数据源）、事务管理器及事务切面等；具体请参考配置源码。

Spring配置——spring-config-cache.xml

定义了spring通用cache，使用ehcache实现；具体请参考配置源码。

Spring配置——spring-config-shiro.xml

定义了shiro相关组件。 

<bean id="userRealm" class="com.github.zhangkaitao.shiro.chapter16.realm.UserRealm"><property name="credentialsMatcher" ref="credentialsMatcher"/><property name="cachingEnabled" value="false"/>
</bean> 

userRealm组件禁用掉了cache，可以参考https://github.com/zhangkaitao/es/tree/master/web/src/main/java/com/sishuok/es/extra/aop实现自己的cache切面；否则需要在修改如资源/角色等信息时清理掉缓存。 

<bean id="sysUserFilter" 
class="com.github.zhangkaitao.shiro.chapter16.web.shiro.filter.SysUserFilter"/> 

sysUserFilter用于根据当前登录用户身份获取User信息放入request；然后就可以通过request获取User。 

<property name="filterChainDefinitions"><value>/login = authc/logout = logout/authenticated = authc/** = user,sysUser</value>
</property> 

如上是shiroFilter的filterChainDefinitions定义。 

Spring MVC配置——spring-mvc.xml

定义了spring mvc相关组件。 

<mvc:annotation-driven><mvc:argument-resolvers><bean class="com.github.zhangkaitao.shiro.chapter16.web.bind.method.CurrentUserMethodArgumentResolver"/></mvc:argument-resolvers>
</mvc:annotation-driven> 

此处注册了一个@CurrentUser参数解析器。如之前的IndexController，从request获取shiro sysUser拦截器放入的当前登录User对象。

Spring MVC配置——spring-mvc-shiro.xml

定义了spring mvc相关组件。 

<aop:config proxy-target-class="true"></aop:config>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"><property name="securityManager" ref="securityManager"/>
</bean> 

定义aop切面，用于代理如@RequiresPermissions注解的控制器，进行权限控制。

web.xml配置文件

定义Spring ROOT上下文加载器、ShiroFilter、及SpringMVC拦截器。具体请参考源码。

JSP页面       

<shiro:hasPermission name="user:create"><a href="${pageContext.request.contextPath}/user/create">用户新增</a><br/>
</shiro:hasPermission> 

使用shiro标签进行权限控制。具体请参考源码。

系统截图

访问http://localhost:8080/chapter16/；

首先进入登录页面，输入用户名/密码（默认admin/123456）登录： 

登录成功后到达整个页面主页，并根据当前用户权限显示相应的菜单，此处菜单比较简单，没有树型结构显示   

然后就可以进行一些操作，如组织机构维护、用户修改、资源维护、角色授权 

相关资料

《跟我学spring3》

     http://www.iteye.com/blogs/subjects/spring3

《跟开涛学SpringMVC》

     http://www.iteye.com/blogs/subjects/kaitao-springmvc

《简单shiro扩展实现NOT、AND、OR权限验证》

     http://jinnianshilongnian.iteye.com/blog/1864800

《Shiro+Struts2+Spring3 加上@RequiresPermissions 后@Autowired失效》

     http://jinnianshilongnian.iteye.com/blog/1850425

更复杂的权限请参考我的《JavaEE项目开发脚手架》：http://github.com/zhangkaitao/es，提供了更加复杂的实现。

示例源代码：https://github.com/zhangkaitao/shiro-example；可加群 231889722 探讨Spring/Shiro技术。

请你欣赏春天美景 http://user.qzone.qq.com/314154083/photo/V10a4ot72FxYVR?ptlang=2052