Apache Shiro角色和权限不工作

Question

我正在使用Apache Shiro(v1.2.3)，我正确地设置了用户名/密码身份验证，并且它正在工作（我将密码散列和salt存储在远程数据库中）。我现在正在尝试使用角色设置权限。我有一个扩展authorizingrealm的领域，例如。

public class MyRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(
            AuthenticationToken token) throws AuthenticationException {
        // no problems here...
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principles) {
        Set<String> roles = // get the roles for this user from the DB
        LOG.info("Found roles => " + roles.toString());
        return new SimpleAuthorizationInfo(roles);
    }

}

我的shiro.ini如下所示：

credentialsMatcher=org.apache.shiro.authc.Credential.sha256CredentialsMatcher
credentialsMatcher.StoredCredentialShexEncoded=false
credentialsMatcher.HashIterations=1024

MyRealm.CredentialsMatcher=$CredentialsMatcher

cacheManager=org.ehcache.integrations.shiro.ehcacheShiroManager
SecurityManager.cacheManager=$cacheManager

[角色]
管理员=*
staff=资源_1:Action_1

相关的启动日志记录报告ehcache已正确设置,但在正确设置之前,它还会提到以下内容：

[main]INFO org.apache.shiro.realm.text.IniRealm-已定义了IniRealm，但没有定义[users]节。此领域将不填充任何用户，并且假定将以编程方式填充这些用户。必须定义用户才能使此领域实例有用。
[main]INFO org.apache.shiro.Realm.authorizingRealm-未设置缓存或cacheManager属性。无法获取授权缓存。
...
某些ehcache安装日志记录...

在我的测试中，currentuser.ispermitted（“resource_1:action_1”）返回false，尽管我的日志记录显示我有admin角色（我也尝试过使用staff角色）。

shiro文档讨论了在shiro.ini中设置[users]部分，并为用户分配角色，如：

[users]
some_user=密码,role1,role2

...但我不想在ini文件中定义用户及其密码。这就是我数据库的用途。我是不是误解了配置中的什么东西？

再次查看文档后，似乎只有在使用[users]部分定义少量静态用户时，[roles]部分才适用。如果是这样，那么如何将角色与数据库中定义的用户的权限相关联。可能透露此信息的文档是不完整的。

Answer 1

当您不使用inirealm时，您不会直接映射角色->权限。您必须通过SimpleAuthorizationInfo的addStringPermissions或addObjectPermissions告诉Shiro用户具有哪些权限，如果您使用角色分配权限组，则手动检索这些权限。

根据应用程序的不同，有多种方法可以做到这一点。如果不知道应用程序有多复杂，就很难推荐一种方法。为了获得最大的灵活性，可以创建3个数据库表:user_permissions、role_permissions和user_roles。

如果您只进行权限检查，我建议dogetauthorizationinfo只检索分配给用户的权限。角色只能在前端上用于帮助将权限组分配给某些用户。这是四郎在《角色》中推荐的明确角色。

@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principles) {
    Set<String> permissions = // get the permissions for this user from the DB
    SimpleAuthorizationInfo simpleAuth = new SimpleAuthorizationInfo();
    simpleAuth.addStringPermissions(permissions);
    return simpleAuth;
}

附注。我将删除[roles]部分，并显式地将您的领域定义为Shiro。不建议使用隐式赋值。为此，请在删除[roles]后向配置中添加以下行。

securityManager.realms = $myRealm