检查权限；总是对数据库的请求？

Question

我有一个关于 Apache Shiro 的问题。 我正在使用权限和角色概念。

我在左侧有一个菜单，其中包含许多指向我的其他页面的链接（创建员工、显示员工列表等）。 对于每个菜单项，我还可以安全地隐藏它（取决于权限），例如：

<pm:menu widgetVar="me"
rendered="#{checkPermissionController.checkPermission(['myprofile:show', 'myprofile:edit'])}">

为了检查用户是否被允许，我的 bean 中有这两个函数：

/**
     * Check permission for login User
     * 
     * @return
     * @throws IOException
     * @throws PermissionGroupNotFoundException
     */
    public boolean checkPermission(String permissionName) throws IOException {

        if (loginBean.getCurrentUserShiro().isPermitted(permissionName)) {
            return true;
        }

        return false;
    }

    /**
     * If one of the permission is true
     * 
     * @param strings
     * @return
     */
    public boolean checkPermission(List<String> list) {

        int i = list.size();

        if (i != 0) {
            for (String s : list) {
                if (loginBean.getCurrentUserShiro().isPermitted(s)) {
                    return true;
                }
            }
        }

        return false;
    }

我现在的问题更多是针对性能。 如果用户被允许或不允许，Apache Shiro 是否为每个菜单条目执行对数据库的请求？ 还是 Shiro 在登录时获取用户的所有权限并将其“持有”在“Shiro 用户”对象中？

如果是：我该如何改进？

编辑： 这是我的 LoginBean：

@SessionScoped
@Named
public class LoginBean implements Serializable {

private Subject currentUserShiro;

public String submit() {

        LOGGER.info("START submit");

        try {

            currentUserShiro = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
....
}

    ////////////////////
    // Getter + Setter
    ////////////////////
    public String getUsername() {
        return username;
    }

    public Subject getCurrentUserShiro() {
        return currentUserShiro;
    }
            currentUserShiro.login(token);

Answer 1

我建议使用 Shiro 的过滤器来为您处理实际的登录逻辑。 https://shiro.apache.org/web.html

否则，您最终可能会得到与您的会话无关的主题。看起来您的应用程序可能会在任何时候强制登录 getCurrentUserShiro 被调用。您应该让框架为您处理。

它不是 JSF，但您可以在这里看到一个基本的 JSP 示例（Shrio 配置逻辑将是相同的）： https://github.com/apache/shiro/tree/master/samples/servlet-plugin

您可能只需将登录页面：https://github.com/apache/shiro/blob/master/samples/servlet-plugin/src/main/webapp/login.jsp 替换为您的自定义页面