本文基於Shiro許可權註解方式來控制Controller方法是否能夠訪問。
例如使用到註解：
@RequiresPermissions 來控制是否有對應許可權才可以訪問
@RequiresUser 來控制是否存在使用者登入狀態才可以訪問

想了解Shiro是如何通過註解來控制權限的，可以檢視原始碼 AopAllianceAnnotationsAuthorizingMethodInterceptor ，其構造方法中添加了幾個對應的許可權註解方法攔截器（這裡不做詳細闡述）。

使用者在請求使用這些註解方式控制的方法時，如果沒有通過許可權校驗。Shiro 會丟擲如下兩組型別的異常。

登入認證類異常 UnauthenticatedException.class, AuthenticationException.class
許可權認證類異常 UnauthorizedException.class, AuthorizationException.class
（每個具體的異常對應哪個註解，大家檢視原始碼瞭解一下）

言歸正傳，直接上程式碼，通過程式碼來說明本文目的 “做Ajax請求的時候，如果請求的URL是被註解許可權控制的，在沒有許可權或者登陸失效的情況下，如果獲得JSON方式的返回結果（如果使用者沒有登入，大多數都是直接跳轉到登入頁面了）”。

通過一個 BaseController 來統一處理，然後被其他 Controller 繼承即可，對於JSON和頁面跳轉，我們只需要做一個Ajax判斷處理即可。

程式碼如下：

/**
 * BaseController
 *
 * @author 單紅宇(365384722)
 * @myblog http://blog.csdn.net/catoop/
 * @create
 
 2017年4月4日
 */
public abstract class BaseController {

    /**
     * 登入認證異常
     */
    @ExceptionHandler({ UnauthenticatedException.class, AuthenticationException.class })
    public String authenticationException(HttpServletRequest request, HttpServletResponse response) {
        if (WebUtilsPro.isAjaxRequest(request)) {
            // 輸出JSON
 

            Map<String,Object> map = new HashMap<>();
            map.put("code", "-999");
            map.put("message", "未登入");
            writeJson(map, response);
            return null;
        } else {
            return "redirect:/system/login";
        }
    }

    /**
     * 許可權異常
     */
    @ExceptionHandler({ UnauthorizedException.class, AuthorizationException.class })
    public String authorizationException(HttpServletRequest request, HttpServletResponse response) {
        if (WebUtilsPro.isAjaxRequest(request)) {
            // 輸出JSON
            Map<String,Object> map = new HashMap<>();
            map.put("code", "-998");
            map.put("message", "無許可權");
            writeJson(map, response);
            return null;
        } else {
            return "redirect:/system/403";
        }
    }

    /**
     * 輸出JSON
     *
     * @param response
     * @author SHANHY
     * @create 2017年4月4日
     */
    private void writeJson(Map<String,Object> map, HttpServletResponse response) {
        PrintWriter out = null;
        try {
            response.setCharacterEncoding("UTF-8");
            response.setContentType("application/json; charset=utf-8");
            out = response.getWriter();
            out.write(JsonUtil.mapToJson(map));
        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            if (out != null) {
                out.close();
            }
        }
    }
}

public class WebUtilsPro {

    /**
     * 是否是Ajax請求
     *
     * @param request
     * @return
     * @author SHANHY
     * @create 2017年4月4日
     */
    public static boolean isAjaxRequest(HttpServletRequest request) {
        String requestedWith = request.getHeader("x-requested-with");
        if (requestedWith != null && requestedWith.equalsIgnoreCase("XMLHttpRequest")) {
            return true;
        } else {
            return false;
        }
    }
}

下面是一個普通的 Controller

@Controller
@RequestMapping
public class PageController extends BaseController{

    @RequiresUser
    @RequestMapping(value="/main", method=RequestMethod.GET)
    public String main(Model model){
        return "main";
    }

    @RequiresUser
    @RequestMapping(value="/getData", method=RequestMethod.POST)
    @ResponseBody
    public List<String> getData(Model model){
        List<String> list = new ArrayList<>();
        list.add("data1");
        list.add("data2");
        return list;
    }

}

當我們使用 ajax 方式去請求 /getData 時，如果使用者沒有登入。則會返回對應沒有登入的JSON結果。
頁面在做ajax請求時候，發現使用者沒有登入，可能需要根據響應結果做對用的頁面互動處理，而不是暴力的直接重定向到登入頁面了。