登入頁面：

LoginController：

@GetMapping
public ModelAndView toLogin() {
	// 跳轉登入頁面
	ModelAndView mv = new ModelAndView("login");
	return mv;
}


@PostMapping()
public ModelAndView login(User user, HttpServletRequest request) {

	ModelAndView mv = new ModelAndView();
    //得到subject
	Subject subject = SecurityUtils.getSubject();
		
	//建立使用者名稱和MD5加密過的密碼身份驗證Token
	UsernamePasswordToken token = new UsernamePasswordToken(
				user.getUserName(), new Md5Hash(user.getPassword()).toString());
	try {
		subject.login(token);// 登入，即使用者身份認證
	} catch (AuthenticationException e) {// 登入失敗，跳轉登入頁面
		log.error("使用者登入失敗", e);
		mv.addObject("msg", "使用者名稱或密碼錯誤");
		mv.setViewName("login");
		return mv;
	}
	if (subject.isAuthenticated()) {// 登入成功，儲存使用者資訊，跳轉首頁
		request.getSession().setAttribute("user", user.getUserName());
		mv.setViewName("redirect:/user.do");
		return mv;
	} else {
		log.error("使用者登入失敗");
		mv.addObject("msg", "使用者名稱或密碼錯誤");
		mv.setViewName("login");
		return mv;
	}

}
 

登入失敗：

登入成功：

系統登出操作

上一節在xml配置了shiro登出過濾器，它的作用是在使用者退出系統時，清空快取等操作。解決更新使用者許可權後不立馬起作用的小問題。

登出按鈕如下，不需要寫loginOut對應的Controller，shiro自動攔截，然後跳轉登入介面，詳見上一節配置

<li class="xxx"><a href="loginOut"> 退出 </a></li>

shiro授權常用方式一：基於註解

Controller方法上面新增相應註解

@DeleteMapping(value="/{id}")
@ResponseBody
@RequiresRoles({"admin"})
public ResponseEntity<Integer> delUser(@PathVariable("id")int id) {
	try{
		userService.delUser(id);
	}catch(Exception e){
		log.error("刪除使用者失敗",e);
		return new ResponseEntity<Integer>(HttpStatus.INTERNAL_SERVER_ERROR);
	}
	return new ResponseEntity<Integer>(Common.common_success,HttpStatus.OK);

}
 

shiro授權常用方式二：jsp頁面授權，基於<shiro>標籤

匯入<shiro>標籤庫：<%@ taglib uri="http://shiro.apache.org/tags" prefix="shiro"%>

1：實現粗粒度許可權控制，通過判斷使用者是否有角色/許可權，控制左側選單欄的顯示和隱藏

<shiro:hasPermission name="systemUser">
	<i class="fa fa-sitemap"></i> 使用者中心					   
    <shiro:hasPermission name="userManager">
		<a href="user.do">使用者管理</a>
	</shiro:hasPermission> 
					
	<shiro:hasPermission name="roleManager">
		<a href="role.do">角色管理</a>
	</shiro:hasPermission>			
</shiro:hasPermission>

2：實現細粒度許可權控制，通過判斷使用者是否有角色/許可權，決定是否顯示刪除/編輯按鈕

<shiro:hasPermission name="roleManagerDelete">
	<button id="del" onclick="del(${role.id})">刪除</button>
</shiro:hasPermission>
<shiro:hasPermission name="roleManagerUpdate">
	<button id="upd" onclick="upd(${role.id})">修改</button>
</shiro:hasPermission>

注意1：除錯過程中，可能會遇到自定義的DbRealm中授權方法進不去，這是因為，你在跳轉的方法上面沒有使用shiro授權註解，同時在要跳轉的頁面沒有使用<shiro>標籤授權。必須有授權行為，才能進入授權方法。

注意2：實踐過程中，可能需要在js中拼接<shiro>標籤，生成html程式碼，這是這樣生成的<shiro>標籤不起作用

例如：

var htm = '';
htm += '<shiro:hasPermission name="roleManagerDelete">';
htm += '<button>刪除</button>';
htm += '</shiro:hasPermission>';
return htm;

解決思路：先在頁面通過<shiro>標籤生成一個變數，js根據這個變數來判斷是否需要拼接刪除按鈕的html

<!-- jsp程式碼 -->
<shiro:hasPermission name="roleManagerDelete">
	<input type="text" id="isDelete" hidden="true" value="true">
</shiro:hasPermission>

<!-- js程式碼 -->
var htm = '';
if($("#isDelte").val() == "t"){
   htm += '<button>刪除</button>';
}
return htm;