单一入口的API接口使用shiro如果进行权限鉴权

Question

问题描述

在进行数据通讯当中，全部数据都是走 http://host/api/ 这个URL地址，用业务请求码来控制请求返回的结果,每个请求码可能会有多种情况发生，不同的用户角色控制其使用接口的权限，包含一个接口中不同的情况也要控制，在使用Shiro中就方了，大佬们有好的解决方案吗

Answer 1

如果不同业务已经设计成通过请求参数来控制的话，建议使用shiro的自定义权限控制，解析对应的业务代码，进行权限控制。这种方法比较灵活，即可写死权限规则，也可以配合数据库等做成动态规则控制。拦截所有请求， 对应shiro配置： /**=perms;继承org.apache.shiro.authz.Permission，重写implies方法，进行权限校验。