正文

如何用Shiro监听器巧妙注入Service实现权限控制与业务逻辑分离

/0 浏览量
1018

在Java的权限控制框架中，Shiro是一个功能强大且灵活的工具。它提供了多种机制来实现权限控制，包括基于角色的访问控制（RBAC）和基于权限的访问控制（ABAC）。使用Shiro监听器可以巧妙地将权限控制与业务逻辑分离，从而提高代码的可维护性和可读性。

引言

在传统的Java Web应用中，权限控制和业务逻辑往往混合在一起，这会导致代码结构混乱，难以维护。Shiro监听器可以帮助我们将这两者分离，使代码更加清晰。

Shiro监听器简介

Shiro监听器是Shiro框架提供的一种机制，它可以监听Shiro的生命周期事件，并在事件发生时执行相应的操作。在权限控制方面，我们可以通过监听器来拦截请求，并根据用户的角色或权限决定是否允许访问。

实现步骤

1. 创建监听器

首先，我们需要创建一个实现了org.apache.shiro.event.EventListener接口的监听器。在这个监听器中，我们将实现onApplicationEvent方法，该方法将在特定事件发生时被调用。

import org.apache.shiro.event.EventListener;
import org.apache.shiro.event.Event;
import org.apache.shiro.subject.Subject;

public class PermissionListener implements EventListener {

    @Override
    public void onApplicationEvent(Event event) {
        if (event instanceof AuthorizationEvent) {
            AuthorizationEvent authEvent = (AuthorizationEvent) event;
            Subject subject = authEvent.getSubject();
            String requestedPermission = authEvent.getRequestedPermission();
            
            // 根据用户角色和权限进行判断
            if (subject.isPermitted(requestedPermission)) {
                // 权限验证通过，执行业务逻辑
                // ...
            } else {
                // 权限验证失败，返回错误信息
                // ...
            }
        }
    }
}

2. 注册监听器

在Shiro的配置文件中，我们需要注册刚刚创建的监听器。这可以通过在<bean>标签中添加<listener>标签来实现。

<bean id="permissionListener" class="com.example.PermissionListener"/>
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="eventListeners">
        <list>
            <ref bean="permissionListener"/>
        </list>
    </property>
</bean>

3. 注入Service

在业务逻辑代码中，我们可以通过Shiro的Subject对象来获取当前用户的信息，并注入相应的Service。

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.subject.Subject;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

@Service
public class BusinessService {

    @Autowired
    private UserService userService;

    public void executeBusiness() {
        Subject subject = SecurityUtils.getSubject();
        if (subject.isAuthenticated()) {
            // 获取当前用户信息
            User user = userService.getUserById(subject.getPrincipal());
            
            // 根据用户信息执行业务逻辑
            // ...
        }
    }
}

4. 使用监听器

当用户发起请求时，Shiro会自动调用监听器中的onApplicationEvent方法。在这个方法中，我们可以根据用户的角色和权限来决定是否允许访问。

总结

通过使用Shiro监听器，我们可以巧妙地将权限控制与业务逻辑分离，从而提高代码的可维护性和可读性。在实际项目中，我们可以根据具体需求调整监听器的实现，以实现更加灵活的权限控制策略。

-- 展开阅读全文 --