提供一套基于Spring Boot-Shiro-Vue的权限管理思路.前后端都加以控制,做到按钮/接口级别的权限

Last update: Jan 5, 2023

Overview

Spring Boot-Shiro-Vue

提供一套基于SpringBoot-shiro-vue的权限管理思路.

前后端都加以控制,做到按钮/接口级别的权限

DEMO

测试地址

admin/123456 管理员身份登录,可以新增用户,角色.

角色可以分配权限

控制菜单是否显示,新增/删除按钮是否显示

设计思路

核心

每个登录用户拥有各自的N条权限,比如 文章:查看/编辑/发布/删除

后端

基于 RBAC新解 .

通常我们的权限设计都是用户--角色--权限 ,其中角色是我们写代码的人没法控制的,它可以有多条权限,每个用户又可以设计为拥有多个角色.因此如果从角色着手进行权限验证,系统都必须根据用户的配置动起来,非常复杂.

所以我们后台设计的关键点就在于: 后台接口只验证权限,不看角色.

角色的作用其实只是用来管理分配权限的,真正的验证只验证权限 ,而不去管你是否是那种角色.体现在代码上就是接口上注解为

@RequiresPermissions("article:add")

而不是

@RequiresRoles(value = {"admin","manager","writer"}, logical = Logical.OR)

前端

采用了vueAdmin-template , ElementUI , 权限设计思路也是参考了 vueAdmin 的动态路由的设计.

后端负责了接口的安全性,而前端之所以要做权限处理,最主要的目的就是隐藏掉不具有权限的菜单(路由)和按钮.

登录系统后,后端返回此用户的权限信息,比如

 "userPermission":{  
         "menuList":[  
            "role",
            "user",
            "article"
         ],
         "roleId":1,
         "nickname":"超级用户",
         "roleName":"管理员",
         "permissionList":[  
            "article:list",
            "article:add",
            "user:list",
         ],
         "userId":10003
      }

根据menuList判断给此用户生成哪些路由, 根据permissionList判断给用户显示哪些按钮,能请求哪些接口.

数据库

最主要的是要有一张本系统内的全部权限明细表,比如下面这样

如果某用户拥有表格中前五条权限,就可以查出他就拥有article和user两个菜单,至于页面内是否显示(新增)(修改)按钮,就根据他的permissionList来判断.

具体实现

有了思路,就可以根据各自的业务进行实现,本项目在此进行了简单的实现,后端代码在back文件夹,前端代码在vue文件夹.前端启动只需

npm install
npm run dev

后端就是常规的shiro配置,前端代码如果看不明白,可以参考前端权限代码说明

分配权限页面效果

Comments

登录问题 org.springframework.web.HttpMediaTypeNotSupportedException: Content type 'application/json;charset=UTF-8' not supported

我将你的项目部署到idea后，前后端都可以启动，但是登录的时候后台报错了。

org.springframework.web.HttpMediaTypeNotSupportedException: Content type 'application/json;charset=UTF-8' not supported at org.springframework.web.servlet.mvc.method.annotation.AbstractMessageConverterMethodArgumentResolver.readWithMessageConverters(AbstractMessageConverterMethodArgumentResolver.java:224) at org.springframework.web.servlet.mvc.method.annotation.RequestResponseBodyMethodProcessor.readWithMessageConverters(RequestResponseBodyMethodProcessor.java:157) at org.springframework.web.servlet.mvc.method.annotation.RequestResponseBodyMethodProcessor.resolveArgument(RequestResponseBodyMethodProcessor.java:130) at org.springframework.web.method.support.HandlerMethodArgumentResolverComposite.resolveArgument(HandlerMethodArgumentResolverComposite.java:124) at org.springframework.web.method.support.InvocableHandlerMethod.getMethodArgumentValues(InvocableHandlerMethod.java:165) at org.springframework.web.method.support.InvocableHandlerMethod.invokeForRequest(InvocableHandlerMethod.java:138) at org.springframework.web.servlet.mvc.method.annotation.ServletInvocableHandlerMethod.invokeAndHandle(ServletInvocableHandlerMethod.java:102) at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.invokeHandlerMethod(RequestMappingHandlerAdapter.java:895) at org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter.handleInternal(RequestMappingHandlerAdapter.java:800) at org.springframework.web.servlet.mvc.method.AbstractHandlerMethodAdapter.handle(AbstractHandlerMethodAdapter.java:87) at org.springframework.web.servlet.DispatcherServlet.doDispatch(DispatcherServlet.java:1038) at org.springframework.web.servlet.DispatcherServlet.doService(DispatcherServlet.java:942) at org.springframework.web.servlet.FrameworkServlet.processRequest(FrameworkServlet.java:998) at org.springframework.web.servlet.FrameworkServlet.doPost(FrameworkServlet.java:901)

opened by yanwencaihubei 13
用户信息可以成功保存到 session，但是后面从 session 中获取不到

执行语句 SecurityUtils.getSubject().getSession().setAttribute(ShiroConstant.SESSION_USER_INFO, user); 后，用户信息是成功保存上了的，但是后面再通过 (User) session.getAttribute(ShiroConstant.SESSION_USER_INFO); 获取时，结果为null

opened by guoguocai 9
好,需要帮忙,我发到服务器的时候,会出现Long类型不精准,用本地的运行,Long类型会String,没此问题

@Configuration public class DefaultView extends WebMvcConfigurerAdapter { @Override public void configureMessageConverters(List<HttpMessageConverter<?>> converters) { MappingJackson2HttpMessageConverter jackson2HttpMessageConverter = new MappingJackson2HttpMessageConverter(); ObjectMapper objectMapper = new ObjectMapper(); /** * 序列换成json时,将所有的long变成string * 因为js中得数字类型不能包含所有的java long值 / SimpleModule simpleModule = new SimpleModule(); simpleModule.addSerializer(Long.class, ToStringSerializer.instance); simpleModule.addSerializer(Long.TYPE, ToStringSerializer.instance); objectMapper.registerModule(simpleModule); jackson2HttpMessageConverter.setObjectMapper(objectMapper); converters.add(jackson2HttpMessageConverter); } // /* // *
Description: 解决js处理long型丢失精度问题，将long转换成long
// * @author hanchao // * @date 2018/7/23 下午4:31 // */ // @Override // public void configureMessageConverters(List<HttpMessageConverter<?>> converters) { // //定义Json转换器 // MappingJackson2HttpMessageConverter jackson2HttpMessageConverter = // new MappingJackson2HttpMessageConverter(); // //定义对象映射器 // ObjectMapper objectMapper = new ObjectMapper(); // //定义对象模型 // SimpleModule simpleModule = new SimpleModule(); // //添加对长整型的转换关系 // simpleModule.addSerializer(BigInteger.class, ToStringSerializer.instance); // simpleModule.addSerializer(Long.class, ToStringSerializer.instance); // simpleModule.addSerializer(Long.TYPE, ToStringSerializer.instance); // //将对象模型添加至对象映射器 // objectMapper.registerModule(simpleModule); // //将对象映射器添加至Json转换器 // jackson2HttpMessageConverter.setObjectMapper(objectMapper); // // //在转换器列表中添加自定义的Json转换器 // converters.add(jackson2HttpMessageConverter); // //添加utf-8的默认String转换器 // converters.add(new StringHttpMessageConverter(Charset.forName("UTF-8"))); // } @Override public void addViewControllers(ViewControllerRegistry registry) { registry.addViewController("/").setViewName("forward:/index.html"); // registry.addViewController("/").setViewName("public/index.html"); registry.setOrder(Ordered.HIGHEST_PRECEDENCE); super.addViewControllers(registry); } }

opened by hzhh110 8
开发环境ok，部署到服务器提示“登录已过期”

目前部署步骤： 1、按历史issues里面的做法，npm run build； 1.1 除了修改配置文件外，前端其他代码并未修改；

2、将dist目录下的文件，放在resources文件中，然后打war包到Tomcat部署；

3、访问返回如下提示： {"msg":"登陆已过期,请重新登陆","code":"20011"}

请问我哪里不对呢？非常感谢！！

opened by WinChance 7
后台运行有问题

2019-03-13 16:55:38.773 INFO 26640 --- [ main] com.heeexy.example.MyApplication : No active profile set, falling back to default profiles: default 2019-03-13 16:55:40.622 INFO 26640 --- [ main] trationDelegate$BeanPostProcessorChecker : Bean 'shiroConfiguration' of type [com.heeexy.example.config.shiro.ShiroConfiguration$$EnhancerBySpringCGLIB$$50c29246] is not eligible for getting processed by all BeanPostProcessors (for example: not eligible for auto-proxying) 2019-03-13 16:55:41.143 INFO 26640 --- [ main] trationDelegate$BeanPostProcessorChecker : Bean 'mybatis-org.mybatis.spring.boot.autoconfigure.MybatisProperties' of type [org.mybatis.spring.boot.autoconfigure.MybatisProperties] is not eligible for getting processed by all BeanPostProcessors (for example: not eligible for auto-proxying) 2019-03-13 16:55:41.148 INFO 26640 --- [ main] trationDelegate$BeanPostProcessorChecker : Bean 'org.mybatis.spring.boot.autoconfigure.MybatisAutoConfiguration' of type [org.mybatis.spring.boot.autoconfigure.MybatisAutoConfiguration$$EnhancerBySpringCGLIB$$b9ab938a] is not eligible for getting processed by all BeanPostProcessors (for example: not eligible for auto-proxying) 2019-03-13 16:55:41.149 INFO 26640 --- [ main] trationDelegate$BeanPostProcessorChecker : Bean 'org.springframework.boot.autoconfigure.jdbc.DataSourceConfiguration$Hikari' of type [org.springframework.boot.autoconfigure.jdbc.DataSourceConfiguration$Hikari] is not eligible for getting processed by all BeanPostProcessors (for example: not eligible for auto-proxying)

后台运行后，一直报“for example: not eligible for auto-proxying”

opened by DoubleShadowLZF 6
通过案例后台整合shiro出现了问题

我通过postman测试了登录后，doGetAuthorizationInfo方法一直不执行。并且无论controller上的方法有没有配置需要权限的注释，都无法执行，都直接会提醒我在AjaxPermissionsAuthorizationFilter配置的报错登录已过期，难道是因为无法通过postman进行登录状态的保持么？希望能帮帮我。

opened by crayymumu 3