Apache Shiro是否支持基于动态参数与业务规则的Subject授权？

当然支持！这种「用户仅能访问属于自己的动态资源」的场景，是权限管理里非常常见的需求，Shiro 提供了好几种灵活的方案来实现这类逻辑，下面给你梳理最常用的几种：

1. 自定义 Permission 类（最推荐的通用方式） #

Shiro 的 Permission 接口是完全可扩展的，你可以针对业务场景定义专属的权限类型，把动态参数（比如 docId）直接封装进去，然后在权限判断逻辑里嵌入业务规则。

举个简单的实现示例：

// 自定义文档权限类
public class DocumentPermission implements Permission {
    private final Long docId;

    public DocumentPermission(Long docId) {
        this.docId = docId;
    }

    @Override
    public boolean implies(Permission permission) {
        // 先判断权限类型是否匹配
        if (!(permission instanceof DocumentPermission)) {
            return false;
        }
        DocumentPermission targetPerm = (DocumentPermission) permission;
        
        // 获取当前登录用户信息
        User currentUser = (User) SecurityUtils.getSubject().getPrincipal();
        // 调用业务服务判断文档归属
        Long docOwnerId = documentService.getDocumentOwner(targetPerm.docId);
        
        return currentUser.getId().equals(docOwnerId);
    }
}

然后在请求处理代码里（比如 Controller 或者 Filter），直接用这个自定义权限做校验：

// 从请求参数中获取 docId
Long docId = Long.parseLong(request.getParameter("docId"));
Subject currentUser = SecurityUtils.getSubject();

// 校验权限，不通过会自动抛出 UnauthorizedException
currentUser.checkPermission(new DocumentPermission(docId));

这种方式的好处是业务规则和权限逻辑完全解耦，所有和文档权限相关的判断都封装在这个类里，后续维护起来特别方便。

2. 自定义 Shiro 拦截器/过滤器做动态校验 #

如果你不想自定义 Permission，也可以在请求拦截阶段直接嵌入业务逻辑判断。比如写一个专属的 Shiro Filter：

public class DocumentAuthorizationFilter extends AccessControlFilter {
    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        Long docId = Long.parseLong(httpRequest.getParameter("docId"));
        User currentUser = (User) SecurityUtils.getSubject().getPrincipal();
        
        // 直接调用业务方法判断文档归属
        return documentService.isDocumentOwnedByUser(docId, currentUser.getId());
    }

    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
        // 权限不足时的处理：返回403或者跳转无权限页面
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.sendError(HttpServletResponse.SC_FORBIDDEN, "你无权访问该文档");
        return false;
    }
}

然后在 Shiro 配置里把这个过滤器绑定到 /doc 这类需要校验的 URL 上即可。

3. 结合自定义注解实现方法级授权 #

如果是 Spring 环境，还可以自定义注解配合 Shiro 的 AOP 支持，实现方法级的动态权限校验。比如先定义一个注解：

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface RequiresDocumentOwnership {
    // 指定哪个参数是 docId
    String paramName() default "docId";
}

然后写一个自定义的 Shiro Annotation Advisor 来解析这个注解，提取方法参数里的 docId，再执行归属判断逻辑。这种方式适合在 Service 或 Controller 方法上直接标记，代码会更简洁。

几个注意点 #

• 性能优化：如果每次校验都查数据库，建议给文档归属信息加缓存（比如 Redis），减少DB查询次数；
• Principal 正确性：确保 SecurityUtils.getSubject().getPrincipal() 返回的用户对象包含正确的用户ID等标识；
• 异常统一处理：权限校验不通过时，要统一捕获异常，返回友好提示或者跳转对应页面。

内容的提问来源于stack exchange，提问作者pto3