（轉）SpringBoot shiro添加多角色or關系權限管理

使用shiro時遇到一個問題，想為多個角色分配同一權限，也就是只要滿足其中一個角色，就可以獲得該權限，多角色之間是or關系而非and，但是shiro自帶的方法同一權限只能分配一個角色。

 

// 使用如下Shiro自帶的方法實現多角色權限分配，無法實現
filterChainDefinitionMap.put("/user/**", "roles[admin]");
filterChainDefinitionMap.put("/user/**", "roles[user]");

// 理想中的為多角色分配權限方法
filterChainDefinitionMap.put("/behindIndexPage","roles[admin,user]");

 

使用Shiro自帶的方法，由於是map結構，下面的roles[user]肯定會覆蓋roles[admin]，所以使用自帶方法，只能為一個權限分配一個角色。於是搜尋了一下理想中的分配多角色權限的解決方案，方便日后再用。

首先，需要重寫Shiro自帶角色權限過濾器

 

public class  RoleFilter extends RolesAuthorizationFilter {
    @Override
    public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue)
            throws IOException {

        final Subject subject = getSubject(request, response);
        final String[] rolesArray = (String[]) mappedValue;

        if (rolesArray == null || rolesArray.length == 0) {
            // 無指定角色時，無需檢查，允許訪問
            return true;
        }

        for (String roleName : rolesArray) {
            if (subject.hasRole(roleName)) {
                return true;
            }
        }

        return false;
    }
｝

 

然后，只需在Shiro配置類中將剛剛寫的自定義過濾器配置進去即可。

@Configuration
public class ShiroConfig {
    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        // 存放自定義的filter，這里導入的是：javax.servlet.Filter
        LinkedHashMap<String, Filter> filtersMap = new LinkedHashMap<>();
        // 配置自定義 or角色 認證
        filtersMap.put("roles", new RoleFilter());
        shiroFilterFactoryBean.setFilters(filtersMap);
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/index","roles[admin,user]");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;

    ｝
｝