SpringBoot使用Shiro实现动态加载权限详解流程

下面是"SpringBoot使用Shiro实现动态加载权限详解流程"的完整攻略：

1. 确定需求

首先，我们需要明确本次实现的需求。我们将使用Shiro来实现认证和权限控制，同时，我们的权限控制将支持动态的添加和删除。具体来说，我们需要实现以下功能：

用户登录
用户退出
用户认证
用户权限控制
动态添加权限
动态删除权限

2. 搭建SpringBoot项目

我们需要搭建一个SpringBoot项目来实现我们的需求。你可以使用任何IDE或者命令行工具来创建一个SpringBoot项目。在创建完项目后，需要添加Shiro的依赖，本文中使用的是官方提供的Starter。这个依赖将会自动引入所有必要的Shiro库和配置。

3. Shiro认证和权限控制配置

我们需要在SpringBoot的配置文件中配置Shiro的认证和权限控制。使用Shiro之前，我们需要先定义一个Realm，这个Realm将会为Shiro提供认证和权限控制的数据。

以下是一个使用JPA进行认证和授权的Realm的示例：

public class MyRealm extends AuthorizingRealm {

    private UserRepository repository;

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        String username = (String) principalCollection.getPrimaryPrincipal();
        User user = repository.findByUsername(username);
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        for (Role role : user.getRoles()) {
            authorizationInfo.addRole(role.getName());
            authorizationInfo.addStringPermissions(role.getPermissions().stream().map(Permission::getName).collect(Collectors.toSet()));
        }
        return authorizationInfo;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
        User user = repository.findByUsername(usernamePasswordToken.getUsername());
        if (user == null) {
            throw new UnknownAccountException();
        }
        return new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(), getName());
    }

}

在这个示例中，我们需要定义一个UserRepository来获取用户和角色的信息。我们重写了doGetAuthorizationInfo和doGetAuthenticationInfo两个方法来实现授权和认证的逻辑。在doGetAuthorizationInfo方法中，我们获取当前用户所拥有角色的权限，并返回一个SimpleAuthorizationInfo对象。在doGetAuthenticationInfo方法中，我们获取用户输入的用户名和密码，并在数据库中进行认证。

为了让Shiro能够使用我们的Realm，我们需要在SpringBoot的配置文件中添加相关配置。以下是一个示例：

shiro:
  security-manager:
    realm: com.example.MyRealm
    session-mode: native
  login-url: /login
  success-url: /home

在这个配置文件中，我们将security-manager的realm设置为我们自定义的MyRealm，而session-mode则为native。Shiro支持多种session类型，包括native和web，这里我们选择native。

另外，在这个示例中，我们将登录页面设置为/login，成功后跳转到/home。

通过以上配置，我们完成了Shiro的认证和权限控制的配置。

4. 动态添加和删除权限

本文中，我们使用Shiro的默认实现MemoryPermissionResolver来实现权限的动态添加和删除。MemoryPermissionResolver的实现方式是将所有权限存储在一个ConcurrentHashMap中。

以下是一个添加权限的示例：

@Service
public class PermissionService {

    private PermissionResolver permissionResolver;
    private ConcurrentHashMap<String, Permission> permissions = new ConcurrentHashMap<String, Permission>();

    public void addPermission(String permissionName) {
        Permission permission = permissionResolver.resolvePermission(permissionName);
        permissions.put(permission.getName(), permission);
    }

}

在这个示例中，我们使用了一个PermissionResolver来解析权限的名称，并将其添加到一个ConcurrentHashMap中。

以下是一个删除权限的示例：

@Service
public class PermissionService {

    private ConcurrentHashMap<String, Permission> permissions = new ConcurrentHashMap<String, Permission>();

    public void removePermission(String permissionName) {
        permissions.remove(permissionName);
    }

}

这里，我们只需要删除指定名称的权限即可。

5. 添加Shiro的注解

为了使用Shiro的注解，我们需要在SpringBoot的配置文件中添加以下配置：

@Bean
ShiroFilterChainDefinition shiroFilterChainDefinition() {
    DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();
    chainDefinition.addPathDefinition("/logout", "logout");
    chainDefinition.addPathDefinition("/login", "anon");
    chainDefinition.addPathDefinition("/**", "authc");
    return chainDefinition;
}

在这个配置文件中，我们将/logout设置为logout，/login设置为匿名访问，其他路径设置为authc。

除此之外，我们还需要在Controller中使用Shiro的注解，如@RequiresRoles和@RequiresPermissions来实现权限的限制。

不过，在使用注解前，我们还需要在SpringBoot的配置文件中添加以下配置：

@Bean
public LifecycleBeanPostProcessor lifecycleBeanPostProcessor() throws Exception {
    return new LifecycleBeanPostProcessor();
}

@Bean(name = "lifecycleExecutor")
public Executor lifecycleExecutor() {
    return Executors.newSingleThreadExecutor();
}

@Bean
public DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {
    return new DefaultAdvisorAutoProxyCreator();
}

@Bean
public AnnotationMethodInterceptor annotationMethodInterceptor() {
    return new AnnotationMethodInterceptor();
}

@Bean
public MethodInvokingFactoryBean methodInvokingFactoryBean() {
    MethodInvokingFactoryBean methodInvokingFactoryBean = new MethodInvokingFactoryBean();
    methodInvokingFactoryBean.setTargetMethod("setSecurityManager");
    methodInvokingFactoryBean.setArguments(new Object[]{securityManager});
    return methodInvokingFactoryBean;
}

@Bean
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor() {
    AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();
    authorizationAttributeSourceAdvisor.setSecurityManager(securityManager);
    authorizationAttributeSourceAdvisor.setAdvice(annotationMethodInterceptor());
    return authorizationAttributeSourceAdvisor;
}

6. 测试

我们需要编写一些测试用例来确认我们的Shiro认证和权限控制是否正常工作。

@RequiresRoles("admin")
@Test
public void testAdminRoleCanViewDashboard() {
    mockMvc.perform(get("/dashboard"))
            .andExpect(status().isOk());
}

在这个示例中，我们使用了@RequiresRoles注解，来保证用户必须具备admin角色才能访问/dashboard路径。如果访问正常，则说明我们的动态权限控制已经生效。