一般在web系统权限设计中，一般分为三个维度，用户，角色，资源，一个用户可以拥有多个角色，比如说可以是老师，也可以是班主任，一个角色也可以拥有多个资源。
比如老师同时拥有查看班级学生和批改作业的资源，如果一个用户有老师这个角色，那么就代表他拥有了查看班级学生和批改作业的两个资源权限。
因为只判断角色颗粒度太粗，而根据资源权限则比较细。
校验权限代码
在classpath下新建shiro-role.ini文件，内容如下：
代表有一个zhang的用户，拥有role1角色（如果有多个角色，后面用逗号继续隔开role1,role2）
role1这个角色有两个资源，分别是user:create和user:update。
[users]
zhang=123456,role1
[roles]
role1=user:create,user:update 测试代码：
Factory<SecurityManager> factory =new IniSecurityManagerFactory("classpath:shiro-role.ini");//得到安全管理器SecurityManager securityManager = factory.getInstance();//将securityManager托管给SecurityUtils SecurityUtils.setSecurityManager(securityManager);Subject subject = SecurityUtils.getSubject();UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123456");try {subject.login(token);} catch (AuthenticationException e) {e.printStackTrace();}//是否已经认证 System.out.println(subject.isAuthenticated());//校验是否有对应的权限和资源，如果没有则抛出对应的异常UnauthorizedExceptionsubject.checkRole("role1");subject.checkPermission("user:create");//退出subject.logout();
过程没有遇到任何错误，执行到了最后，但是如果你check一个zhang不存在的role或者permission，则会报UnauthorizedException。
身份和凭证
在登陆中，用户需要提供principals(身份)和credentials（证明/凭证）提供给shiro来进行认证和授权。
principals可以有多个身份，但是只能有一个Primary principals，一般是登录账号，比如手机号。
credentials一般是密码。
在UsernamePasswordToken的账户密码就对应着身份和凭证。
subject.login()原理
当执行subject.login的时候，实际调用的是securityManager所属的Authenticator（默认是ModularRealmAuthenticator）的doAuthenticate方法进行验证。
他会根据当前设置了几个realm走不同的方法（后面介绍多个realms）
最终走的realm对应的getAuthenticationInfo方法，判断用户账号密码是否正确，如果错误则抛出对应的异常。正确则返回一个AuthenticationInfo对象。（这里是SimpleAuthenticationInfo）
所以后面我们自定义realms的时候就覆盖getAuthenticationInfo这个方法即可。
subject.checkRole原理
当用户调用subject.checkRole("role1")判断用户是否有对应的角色的时候，底层还是走的SecurityManager所属的Authorizer的checkRole方法。
hasRole然后又走了下面的方法
最后获取到了所有的realms，上篇文章说了java环境下使用了IniRealm，并且注入到了Authenticator（认证器）和Authorizer（授权器）的一个成员变量中。
所以getRealms就可以直接获取到所有的realms
因为IniRealms继承了AuthorizingRealm，而IniRealm没有实现hasRole方法，所以会走他的继承类AuthorizingRealm里面的hasRole来判断是否有权限。下面就是对应的方法。
在初始化IniRealm的时候会读取所有用户所属的role和permission并封装到成员变量中，getAuthorizationInfo方法就是返回了一个AuthorizationInfo对象里面获取了zhang所属role和permission。
所以我们自定义realm进行授权的时候就是覆盖了realm的getAuthorizationInfo方法，里面封装的role和permission都是从数据库查询出来的。
最后进行checkRole就很容易看懂了。
如果返回false，则Authorizer会抛出UnauthorizedException授权失败异常。
github地址
https://github.com/cmniefei/shiroparent