shiro-从数据库中获取授权信息与显示菜单在页面上（注解版和jsp标签）

修改realm的doGetAuthorizationInfo，从数据库查询权限信息。
使用注解式授权方法。

使用jsp标签授权方法。

1.修改doGetAuthorizationInfo从数据库查询权限

// 用于授权，从数据中查询
  protected AuthorizationInfo doGetAuthorizationInfo(
      PrincipalCollection principals) {
    //从principals获取主身份
    //将getPrimaryPrincipal方法返回值转为真实身份类型
    ActiveUser activeUser =  (ActiveUser) principals.getPrimaryPrincipal();
    
    //根据身份信息获取权限信息
    //从数据库获取到权限数据
    List<SysPermission> permissionList = null;
    try {
      permissionList = sysService.findPermissionListByUserId(activeUser.getUserid());
    } catch (Exception e) {
      e.printStackTrace();
    }
    
    //单独定一个集合对象 
    List<String> permissions = new ArrayList<String>();
    if(permissionList!=null){
      for(SysPermission sysPermission:permissionList){
        //将数据库中的权限标签 符放入集合
        permissions.add(sysPermission.getPercode());
      }
    }
    
    //查到权限数据，返回授权信息(要包括 上边的permissions)
    SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
    //将上边查询到授权信息填充到simpleAuthorizationInfo对象中
    simpleAuthorizationInfo.addStringPermissions(permissions);

    return simpleAuthorizationInfo;
  }

2.开启controller类aop支持

对系统中类的方法给用户授权，建议在controller层进行方法授权。
在springmvc.xml中配置：

<!-- 开启aop，对类代理 -->
<aop:config proxy-target-class="true"></aop:config>
<!-- 开启shiro注解支持 -->
<bean
  class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
  <property name="securityManager" ref="securityManager" />
</bean>

3.在controller方法中添加注解

@RequestMapping("/queryItems")
@RequiresPermissions("item:query")//执行该方法需要 访问该用户拥有这个权限--> "item:query"
public ModelAndView queryItems(HttpServletRequest request) throws Exception {

@RequestMapping("/editItemsList")
@RequiresPermissions("item.update")//执行此方法需要 item.update 权限
public ModelAndView editItemsList(HttpServletRequest request) throws Exception {

4.jsp标签 授权

Jsp页面添加：
<%@ tagliburi="http://shiro.apache.org/tags" prefix="shiro" %>

标签名称

标签名称
标签条件（均是显示标签内容）
<shiro:authenticated> 登录之后
<shiro:notAuthenticated>  不在登录状态时
<shiro:guest> 用户在没有RememberMe时
<shiro:user>  用户在RememberMe时
<shiro:hasAnyRoles name="abc,123" > 在有abc或者123角色时
<shiro:hasRole name="abc">  拥有角色abc
<shiro:lacksRole name="abc">  没有角色abc
<shiro:hasPermission name="abc">  拥有权限资源abc
<shiro:lacksPermission name="abc">  没有abc权限资源
<shiro:principal> 显示用户身份名称
<shiro:principal property="username"/>     显示用户身份中的属性值

修改itemsList.jsp页面

<!-- 有item:update权限才显示修改链接，没有该 权限不显示，相当 于if(hasPermission(item:update)) -->
<shiro:hasPermission name="item:update">
<a href="${pageContext.request.contextPath }/items/editItems.action?id=${item.id}">修改</a>
</shiro:hasPermission>

授权测试

当调用controller的一个方法，由于该 方法加了@RequiresPermissions("item:query") ，shiro调用realm获取数据库中的权限信息，看"item:query"是否在权限数据中存在，如果不存在就拒绝访问，如果存在就授权通过。

当展示一个jsp页面时，页面中如果遇到<shiro:hasPermission name="item:update">，shiro调用realm获取数据库中的权限信息，看item:update是否在权限数据中存在，如果不存在就拒绝访问，如果存在就授权通过。

问题：只要遇到注解或jsp标签的授权，都会调用realm方法查询数据库，需要使用缓存解决此问题。