Shiro中的授权问题

2年前 (2022) 程序员胖胖胖虎阿

200 0 0

在初识Shiro一文中，我们对Shiro的基本使用已经做了简单的介绍，不懂的小伙伴们可以先阅读上文，今天我们就来看看Shiro中的授权问题。

Shiro中的授权，大体上可以分为两大类，一类是隐式角色，还有一类是显式角色。我们来分别看下。

隐式角色

隐式角色是一种基于角色的访问权限控制，它在使用的过程中，我们直接判断相应的Subject是否是某一种角色，进而判断该Subject是否具备某种权限，比如下面一个例子：

定义用户

在ini文件中定义用户和对应的角色：

[users]
zhang=123,role1,role2
wang=123,role1

两个用户，zhang用户具有role1、role2两种角色，wang用户具有role1一种角色。

判断用户是否具备某种角色

先来个方法用来执行登录操作，如下：

private void login(String iniFile, String username, String password) {
        Factory<SecurityManager> factory = new IniSecurityManagerFactory(iniFile);
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        try {
            subject.login(token);
            System.out.println("登录成功");
        } catch (AuthenticationException e) {
            System.out.println("登录失败");
            e.printStackTrace();
        }
    }

这个登录比较简单，我们在上文中有详细介绍。
OK，我们看看如何测试：

    @Test
    public void test1() {
        login("classpath:shiro.ini", "zhang", "123");
        Subject subject = SecurityUtils.getSubject();
        //判断是否具备某一种权限
        Assert.assertTrue(subject.hasRole("role1"));//OK
        Assert.assertTrue(subject.hasRole("role2"));//OK
        List<String> roles = new ArrayList<String>();
        roles.add("role1");
        roles.add("role2");
        roles.add("role3");
        //判断是否具备某一组权限
        Assert.assertArrayEquals(new boolean[]{true, true, false}, subject.hasRoles(roles));//OK
    }

OK，上文的测试结果都是OK的，我们用hasRole方法来判断某一个Subject是否具备某一种权限，用hasRoles方法来判断某一个Subject是否具备某一组权限。
可能有的小伙伴已经发现了这种方法的弊端，如果有一天我不需要这些判断了该怎么办？一个一个修改？太可怕了!so，我们来看看下文的显示角色是怎么一回事。

显式角色

显式角色是一种基于资源的访问权限控制，使用显式角色可以避免上文提到的问题，但是使用显式角色又需要我们自己手动维护用户-角色、角色-权限之间的关系。
OK ，我们先来看一个简单的案例。

单个资源具备多个权限

在ini文件中定义两个用户：

[users]
zhang = 123,role1,role2
wang = 123,role1

两个用户具备两种角色，然后再定义这两种角色对应的权限，权限的定义格式一般是资源:操作：

[roles]
#单个资源多个权限
role1 = user:create,user:update
role2 = user:create,user:delete

role1和role2分别具备两种不同的权限。
我们来看看测试

@Test
    public void test2() {
        login("classpath:shiro-res.ini", "wang", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:create"));//OK
        Assert.assertFalse(subject.isPermittedAll("user:delete", "user:update"));//OK
        Assert.assertFalse(subject.isPermitted("user:view"));//OK
    }

以上测试结果都是OK的，wang这个用户具备user:create权限，但是它不同时具备user:delete和user:update权限，同时它也不具有user:view权限。

OK，单个资源具备多个权限除了上面的定义方式之外，我们也可以按下面的方式来定义：

#单个资源的多个权限
role3 = system:user:update,system:user:delete
#role3可以简写为下面这种形式
role31 = "system:user:update,delete"

注意，第二种写法要加引号，这两种都是表示相应的角色具备update和delete权限。测试方法如下：

    @Test
    public void role3Test() {
        login("classpath:shiro-res.ini", "user_role3", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("system:user:update"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:delete"));//OK
    }

    @Test
    public void role31Test() {
        login("classpath:shiro-res.ini", "user_role31", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("system:user:update"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:delete"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete"));//OK
    }

这里的测试结果都是OK的。

单个资源具有全部权限

ini配置如下：

#单个资源全部权限
role4 = "system:user:update,create,delete,view"
#role4可以简写为下面的形式
role41 = system:user:*
#role4也可以简写为下面的形式
role42 = system:user

注意这种有两种不同的简写方式，一种是用*作为通配符，还有一种就是干脆省略。
我们来看看测试方式：

 @Test
    public void role4Test() {
        login("classpath:shiro-res.ini", "user_role4", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("system:user:update"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:delete"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:view"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete,view,create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete,create"));//OK
    }

    @Test
    public void role41Test() {
        login("classpath:shiro-res.ini", "user_role41", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("system:user:update"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:delete"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:view"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete,view,create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete,create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:*"));//OK
        Assert.assertTrue(subject.isPermitted("system:user"));//OK
    }

    @Test
    public void role42Test() {
        login("classpath:shiro-res.ini", "user_role42", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("system:user:update"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:delete"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:view"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete,view,create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:update,delete,create"));//OK
        Assert.assertTrue(subject.isPermitted("system:user:*"));//OK
        Assert.assertTrue(subject.isPermitted("system:user"));//OK
    }

OK，以上三个方法分别测试三个不同的权限定义方式，结果都是OK的。

所有资源具有全部权限

当然我们也可以定义所有资源具有全部权限，定义方式如下:

#所有资源的全部权限  user:view
role5 = *:view
#system:user:view
role51 = *:*:view


    @Test
    public void role5Test() {
        login("classpath:shiro-res.ini", "user_role5", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:view"));//OK
    }

    @Test
    public void role51Test() {
        login("classpath:shiro-res.ini", "user_role51", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("system:user:view"));//OK
    }

两个测试结果都是OK的。

实例级别的权限

我们的权限定义也可以具体到实例级别，如下：

#单个实例单个权限
#对user的1拥有view权限
role6 = user:view:1
#单个实例多个权限
role61 = "user:update,delete:1"
#单个实例的所有权限
role62 = user:*:1
#所有实例的单个权限
role63 = user:view:*
#所有实例的所有权限
role64 = user:*:*

测试代码如下：

@Test
    public void role6Test() {
        login("classpath:shiro-res.ini", "user_role6", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:view:1"));//OK
    }

    @Test
    public void role61Test() {
        login("classpath:shiro-res.ini", "user_role61", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:update:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:delete:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:update,delete:1"));//OK
    }

    @Test
    public void role62Test() {
        login("classpath:shiro-res.ini", "user_role62", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:update:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:delete:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:view:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:create:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:create,view,update,delete:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:update,delete:1"));//OK
    }

    @Test
    public void role63Test() {
        login("classpath:shiro-res.ini", "user_role63", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:view:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:view:2"));//OK
        Assert.assertTrue(subject.isPermitted("user:view:3"));//OK
        Assert.assertTrue(subject.isPermitted("user:view:4"));//OK
    }

    @Test
    public void role64Test() {
        login("classpath:shiro-res.ini", "user_role64", "123");
        Subject subject = SecurityUtils.getSubject();
        Assert.assertTrue(subject.isPermitted("user:view:1"));//OK
        Assert.assertTrue(subject.isPermitted("user:update:2"));//OK
        Assert.assertTrue(subject.isPermitted("user:create:3"));//OK
        Assert.assertTrue(subject.isPermitted("user:delete:4"));//OK
    }

测试结果都是OK的。

其他

OK，关于授权，我们这里还有两个问题，前文我们说的system:user等价于system:user:*，而对于system，它除了等价于system:*，也等价于system:*:*,所以，我们可以把system:user或者system理解成一种前缀匹配。同时，我们用user:*可以匹配user:update、user:delete等，而user:delete又可以匹配user:delete:1,因此我们可以这样理解：不加*,我们可以做前缀匹配，加*,我们则可以匹配所有。