Apache shiro HTTP方法级别权限

Question

我正在开发一个基于REST的web应用程序，其中REST服务集成了Apache shiro，以执行基本身份验证和基于角色的授权。

现在，我想通过方法级别的权限配置（REST情况下的微服务）来增强授权功能。如果我没有错的话，Apache shiro提供了HttpMethodPermissionFilter类，该类可以用作过滤器，根据其HTTP方法（GET、POST、DELETE、HEAD等）限制传入请求它在内部检查我们配置的数据库的roles\u permissions表或INI配置文件中的权限。

因此，为了实现基于HTTP方法的权限功能，我需要对我的shiro.ini文件进行任何更改吗？或者我的jdbc领域有事情要做。

西罗。ini文件

[main]
userRoles = org.apache.shiro.web.filter.authz.RolesAuthorizationFilter

jdbcRealm = my.custom.jdbc.realm.YhJdbcRealm
securityManager.realms = $jdbcRealm

[urls]
# Allowing login page to any user
/rest/login/** = anon

# Page 1
/rest/page1/** = noSessionCreation, authcBasic, userRoles[role1]


# page 2
/rest/page2/** = noSessionCreation, authcBasic, userRoles[role1,role2,role3]


# page 3
/yhrest/page3/** = noSessionCreation, authcBasic, userRoles[role1,role3]

/rest/** = noSessionCreation, authcBasic

自定义jdbc领域

public class YhJdbcRealm extends JdbcRealm
{
    public YhJdbcRealm()
    {
        loadDataSource();
    }

    private void loadDataSource()
    {
        this.dataSource = JdbcConnection.initConnection();
        this.permissionsLookupEnabled = true;
        this.authenticationQuery = "SELECT password FROM users WHERE username = ?";
        this.userRolesQuery = "SELECT role_name FROM user_roles WHERE username = ?";
        this.permissionsQuery = "SELECT permission FROM roles_permissions_temp WHERE role_name = ?";
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException
    {
        AuthenticationInfo info = super.doGetAuthenticationInfo(token);
        return info;
    }
}

我是apache shiro的新手，所以任何参考都将不胜感激。谢谢

Answer 1

查看HttpMethodPermissionFilter的文档，假设您拥有以下CRUD权限：

• abc：创建

您的映射如下所示：

[urls]
/rest/page1/** = noSessionCreation, authcBasic, rest[abc]

所有到rest/page1/***的GET请求都将映射到权限rest[abc：读取]