（转）SpringBoot shiro添加多角色or关系权限管理

使用shiro时遇到一个问题，想为多个角色分配同一权限，也就是只要满足其中一个角色，就可以获得该权限，多角色之间是or关系而非and，但是shiro自带的方法同一权限只能分配一个角色。

// 使用如下Shiro自带的方法实现多角色权限分配，无法实现
filterChainDefinitionMap.put("/user/**", "roles[admin]");
filterChainDefinitionMap.put("/user/**", "roles[user]");

// 理想中的为多角色分配权限方法
filterChainDefinitionMap.put("/behindIndexPage","roles[admin,user]");

使用Shiro自带的方法，由于是map结构，下面的roles[user]肯定会覆盖roles[admin]，所以使用自带方法，只能为一个权限分配一个角色。于是搜寻了一下理想中的分配多角色权限的解决方案，方便日后再用。

首先，需要重写Shiro自带角色权限过滤器

public class  RoleFilter extends RolesAuthorizationFilter {
    @Override
    public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue)
            throws IOException {

        final Subject subject = getSubject(request, response);
        final String[] rolesArray = (String[]) mappedValue;

        if (rolesArray == null || rolesArray.length == 0) {
            // 无指定角色时，无需检查，允许访问
            return true;
        }

        for (String roleName : rolesArray) {
            if (subject.hasRole(roleName)) {
                return true;
            }
        }

        return false;
    }
｝

然后，只需在Shiro配置类中将刚刚写的自定义过滤器配置进去即可。

@Configuration
public class ShiroConfig {
    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        // 存放自定义的filter，这里导入的是：javax.servlet.Filter
        LinkedHashMap<String, Filter> filtersMap = new LinkedHashMap<>();
        // 配置自定义 or角色 认证
        filtersMap.put("roles", new RoleFilter());
        shiroFilterFactoryBean.setFilters(filtersMap);
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
        filterChainDefinitionMap.put("/index","roles[admin,user]");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;

    ｝
｝