文章的进阶并不是对源码进行一通分析，只是在入门篇上进行更深入的思考，并在实际应用中遇到的可能性比较大的问题，此文章的项目代码是在入门篇基础上添加的。

1、文章的主要内容介绍

    项目需求中往往会遇到这种情况：有A,B,C三个链接，有无数个用户，有admin,simple，reader三个角色，每个用户可能拥有一个角色或多个角色。这个描述应该可以理解吧，不理解的话是不是项目经验太少了一点~~。OK，现在需求是这样的，A链接只能有admin角色访问，B链接只能有simple角色访问，C链接admin,simple角色都可访问。那么此时该如何做呢。

1.1 先解决“A链接只能有admin角色访问，B链接只能有simple角色访问”这个问题，问题点就在于如何配置不同的路径让不同的角色去访问，下面代码就是入门篇的configration的代码，但在配置过滤路径时增加了过滤规章。

ShiroConfiguration类

/*** shiro 配置类* @author tianguifang**/
@Configuration
public class ShiroConfiguration {@Beanpublic SecurityManager securityManager() {DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();// 设置realm.securityManager.setRealm(myRealm());securityManager.setRememberMeManager(rememberMeManager());return securityManager;}@Beanpublic DefaultWebSessionManager getSessionManager(){DefaultWebSessionManager sessionManager = new DefaultWebSessionManager();sessionManager.setSessionDAO(getRedisSession());sessionManager.setDeleteInvalidSessions(true);// 删除过期的sessionsessionManager.setSessionValidationSchedulerEnabled(true);// 是否定时检查sessionreturn sessionManager;}@Beanpublic UserRealm myRealm(){return new UserRealm();}public CustomRolesAuthorizationFilter getRolesAuthorization(){return new CustomRolesAuthorizationFilter();}@Beanpublic ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();// 必须设置 SecurityManagershiroFilterFactoryBean.setSecurityManager(securityManager);Map<String, Filter> map = new HashMap<>();map.put("rolesOrFilter",getRolesAuthorization());shiroFilterFactoryBean.setFilters(map);// 权限控制map.Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();// 配置不会被拦截的链接 顺序判断filterChainDefinitionMap.put("/static/**", "anon");filterChainDefinitionMap.put("/user/login","anon");filterChainDefinitionMap.put("/user/test01","authc");filterChainDefinitionMap.put("/user/test02","roles[simple]");filterChainDefinitionMap.put("/user/test03","roles[admin]");
//        filterChainDefinitionMap.put("/user/test01","rolesOrFilter[admin]");
//        filterChainDefinitionMap.put("/user/test02","rolesOrFilter[admin,simple]");
//        filterChainDefinitionMap.put("/user/test03","rolesOrFilter[admin]");shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);return shiroFilterFactoryBean;}/*** cookie对象;* @return*/public SimpleCookie rememberMeCookie(){//这个参数是cookie的名称，对应前端的checkbox的name = rememberMeSimpleCookie simpleCookie = new SimpleCookie("rememberMe");//<!-- 记住我cookie生效时间30天 ,单位秒;-->simpleCookie.setMaxAge(60);return simpleCookie;}/*** cookie管理对象;记住我功能* @return*/@Beanpublic CookieRememberMeManager rememberMeManager(){CookieRememberMeManager cookieRememberMeManager = new CookieRememberMeManager();cookieRememberMeManager.setCookie(rememberMeCookie());//rememberMe cookie加密的密钥 默认AES算法 下面三行代码是用来获取秘钥的
//        KeyGenerator keygen = KeyGenerator.getInstance("AES");
//        SecretKey deskey = keygen.generateKey();
//        System.out.println(org.apache.shiro.codec.Base64.encodeToString(deskey.getEncoded()));cookieRememberMeManager.setCipherKey(Base64.getDecoder().decode("QxxW3vZvJtHjS4wknND81g=="));return cookieRememberMeManager;}}

下面附一张名词说明图，此图源于网上，来源现在找不到了，实在没法标注地址。

此时来看是不是很简单，什么路径需要什么角色来访问只需配置 roles[角色] 即可。但这个只是一个用户只有一个角色，如果一个用户拥有两个角色如何配置呢？

1.2  一个用户拥有多个角色如何满足需求。

      1.2.1  roles[角色] 这种写法可以这么写  roles[admin,simple]  也就是说可以填多个角色进去，是个数组。这个看起来满足了需求，实则不行。下面还是看一下源码对角色的解析判断是怎么样的。

第一步

第二步

源码中从第一步到第二步中间的一些接口回调什么的就不粘了，但从第二步的hasRole可以看出，这个判断是 and的关系，这意味着什么呢，意味着如果A连接配置roles[simple，admin] 那么A链接需要同时具有simple和admin两个角色的人才可以访问，但需求是只要拥有admin角色即可访问，现在用户拥有了两个角色中包括admin，应该要让其可以访问的，此刻该怎么办呢？

2.1、重写AuthorizationFilter过滤器，将and的判断改成or的判断即可。

CustomRolesAuthorizationFilter

/*** @author WYH* @date 2019/4/2 14:22*/
@Repository
public class CustomRolesAuthorizationFilter extends AuthorizationFilter {@Overrideprotected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object mappedValue) throws Exception {System.out.println("进来了。。。。");Subject subject = getSubject(servletRequest,servletResponse);String[] rolesArray = (String[]) mappedValue;//没有角色限制，有权限访问if (rolesArray == null || rolesArray.length == 0) {return true;}for (int i = 0; i < rolesArray.length; i++) {//若当前用户是rolesArray中的任何一个，则有权限访问if (subject.hasRole(rolesArray[i])) {return true;}}return false;}
}

2.2、重写完这个过滤器之后只需要将过滤器告诉shiro，现在我要重写这个了，你不要用之前的那个判断了。怎么告诉呢，很简单，看下面代码：

Map<String, Filter> map = new HashMap<>();
map.put("rolesOrFilter",getRolesAuthorization());
shiroFilterFactoryBean.setFilters(map);

这三行代码是写在ShiroConfiguration 类里面的shiroFilter这个方法里面，可自行往上找到此类。

2.3、shiro框架默认的使用roles,此时重写了AuthorizationFilter，在2.2里面可以看出起的名字为“rolesOrFilter”，此时就需要将之前的roles[角色]修改为rolesOrFilter[角色]。