工作流程：

瀏覽器將使用者名稱、密碼、是否記住登入等資訊傳送給登入controller ，

new UsernamePasswordToken()獲取token，將使用者名稱、加密後的密碼、rememberMe，set到token中。SecurityUtils.getSubject();獲取subject物件，執行subect.login(token)進行登入操作並捕獲可能出現的賬號密碼錯誤等異常。

1.前端登入頁面將使用者名稱、密碼、是否記住登入，傳入到Controller

Controller登入方法：

 1 //1.獲取shiro中的subject物件
 2 Subject subject = SecurityUtils.getSubject();
 
 3 //2.對使用者從頁面輸入的密碼進行加密處理
 4 password = new Md5Hash(password,username,1024).toString();
 5 System.out.println("加密後的密碼: " + password);
 6 //3.建立shiro中的使用者名稱和密碼物件,將使用者輸入的使用者名稱密碼交給shiro管理
 7 UsernamePasswordToken token = new UsernamePasswordToken(username, password);
 8 //4.關於記住我的設定
 9 System.out.println("是否記住我: " + rememberMe);
 
10 if(rememberMe){
11     token.setRememberMe(true);
12 }
13 //5.呼叫shiro的登入方法,呼叫後,shiro會自動執行Realm實現類===========
14 try {
15     subject.login(token);
16     System.out.println("開始登陸");
17 } catch (UnknownAccountException e) {
18     return new Result(1, "賬號不存在");
19 }catch (IncorrectCredentialsException e){
 
20     return new Result(1,"密碼錯誤");
21 }catch (AuthenticationException e){
22     System.out.println("其他異常");
23     return new Result(1,"其他異常");
24 }
25 return new Result(0, "登陸成功!");
26 
27 /**
28  * 登出方法
29  * @return
30  */
31 public Result logout(){
32     //1.獲取subject物件
33     Subject subject =  SecurityUtils.getSubject();
34     //2.返回登出方法
35     subject.logout();
36     //3.返回
37     return Result.ok("登出成功");
38 }

獲取完資料後，shiro會自動執行Realm的實現類，實現類需要手動實現，如下：

 1 /**
 2  * projectName: myproject
 3  * @author: xxx
 4  * time: 2021/9/6 21:17
 5  * description:  自定義realm物件
 6  *
 7  *  1.從資料庫根據使用者名稱,取出資料庫中的使用者名稱,密碼交給shiro框架
 8  *  2.根據使用者名稱,到資料庫取出使用者對應的角色和許可權物件交給shiro框架管理
 9  */
10 
11 public class MyUserRealm extends AuthorizingRealm {
12 
13     @Autowired
14     private UserService userService;
15     @Autowired
16     private MenuService menuService;
17     @Autowired
18     private RoleService roleService;
19     
20     /**
21      *     使用者輸入的使用者名稱和密碼輸入正確,校驗完成後進行賦值操作
22      *     根據使用者名稱到資料庫查詢這個使用者對應的角色和許可權,交給shiro管理
23      *     呼叫時機:在需要訪問資源的時候,需要角色和許可權的視乎才會呼叫此方法
24      * @param principalCollection
25      * @return
26      */
27     @Override
28     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
29 
30         System.out.println("已登陸成功,授予登入使用者許可權,也就是賦予使用者對應的角色和能夠訪問的選單");
31 
32         //1.獲取當前登入的使用者物件
33         SysUsers sysUSers = (SysUsers) principalCollection.getPrimaryPrincipal();
34 
35         //2.獲取當前登入使用者的 使用者id
36         int uid = sysUSers.getId();
37 
38         //3.根據使用者id,查詢資料庫中這個使用者對應的角色集合和許可權集合
39         Set<String> roleList = roleService.findRoleListByUid(uid);
40         Set<String> menuList = menuService.findMenuListbyUid(uid);
41 
42         //4.建立shiro中的使用者許可權物件
43         SimpleAuthorizationInfo auth = new SimpleAuthorizationInfo();
44 
45         //5.將查詢到的角色集合放入shiro的許可權物件
46         auth.setRoles(roleList);
47 
48         //6.將查詢到的許可權集合放入shiro的許可權物件
49         auth.setStringPermissions(menuList);
50 
51         //7.返回shiro許可權物件
52         return auth;
53     }
54 
55     /**
56      *     根據使用者在頁面輸入的使用者名稱,查詢資料庫中的使用者名稱和密碼,交給shiro框架
57      *     讓shiro框架進行對比使用者名稱,密碼是否正確
58      *    呼叫時機:在controller呼叫subject.login(token);方法就會執行這個方法,進行使用者名稱 密碼校驗
59      * @param auth
60      * @return
61      * @throws AuthenticationException
62      */
63     @Override
64     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken auth) throws AuthenticationException {
65         System.out.println("開始校驗使用者名稱和密碼................");
66 
67         //1.獲取使用者在瀏覽器輸入的使用者名稱
68         String userName = (String) auth.getPrincipal();
69         //2.根據使用者輸入的使用者名稱,查詢資料庫的使用者物件
70         String password = new String((char[]) auth.getCredentials());
71         //3.判斷使用者是否為空,為空則丟擲異常
72         SysUsers sysUSer = userService.findUserbyName(userName);
73         if (sysUSer == null) {
74             throw new UnknownAccountException("賬號不存在,請先註冊,再登入!");
75         }
76         //4.對比資料庫的密碼和使用者輸入的密碼是否一致
77         if(!password.equals(sysUSer.getPassword())){
78             throw new IncorrectCredentialsException("密碼錯誤");
79         }
80         //5.判斷使用者狀態,1正常,其他為鎖定狀態
81         if(sysUSer.getStatus() != 1){
82             throw new LockedAccountException("賬號被鎖定不允許登入");
83         }
84         //6.封裝shiro中需要的許可權物件,包括使用者名稱 密碼 以及當前使用者物件交給shiro返回
85         SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(userName, password, this.getName());
86         return info;
87     }
88 }

其他Controller方法需要做許可權驗證時,可以在上面加註解@RequiresPermissions("sys:product:add")

括號裡是許可權字串，用冒號連線

shiro註解用在Service和Controller層，但是如果Service層有事務註解，那麼shiro註解要放在Controller層。因為兩個代理物件在型別轉換時會出現異常。