Spring3+Apache Shiro遗留项目：登录后如何指定用户操作角色？

我之前维护Spring 3+Shiro的遗留项目时碰到过类似需求，虽然Shiro的Subject确实是只读状态，官方不建议登录后修改身份信息，但咱们可以用几个“非常规”的方法实现用户登录后切换角色、仅保留选中角色权限的效果，下面给你详细说两种可行的方案：

方案一：重新发起认证，构建仅含目标角色的Subject #

这个思路是让用户选择角色后，先登出当前Subject，再用同一个用户身份重新认证，但这次只加载选中角色对应的权限。

具体步骤： #

1. 前端把用户选中的角色标识（比如selectedRole=fooRole）传递到后端接口
2. 后端先调用Subject.logout()销毁当前会话
3. 自定义一个扩展的UsernamePasswordToken，添加selectedRole字段来携带选中角色：

public class RoleSelectedToken extends UsernamePasswordToken {
    private String selectedRole;

    // 构造方法、getter/setter自行补充
}

4. 自定义JDBCRealm，重写doGetAuthorizationInfo方法，根据token里的selectedRole只查询该角色对应的权限：

public class CustomJdbcRealm extends JdbcRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 获取当前token中的选中角色
        RoleSelectedToken token = (RoleSelectedToken) SecurityUtils.getSubject().getAuthenticationToken();
        String selectedRole = token.getSelectedRole();
        
        // 替换成你项目中实际的权限查询SQL
        String permissionSql = "SELECT permission FROM role_permissions WHERE role_name = ?";
        List<String> permissions = getJdbcTemplate().queryForList(permissionSql, String.class, selectedRole);
        
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        info.addRole(selectedRole);
        info.addStringPermissions(permissions);
        return info;
    }
}

5. 用新的RoleSelectedToken重新完成登录：

@RequestMapping("/selectRole")
public String selectRole(String selectedRole) {
    Subject currentUser = SecurityUtils.getSubject();
    if (currentUser.isAuthenticated()) {
        currentUser.logout();
    }
    // 从缓存或会话中取出之前登录过的用户名，避免让用户重复输入
    String username = (String) currentUser.getSession().getAttribute("loggedUsername");
    // 密码可以从缓存取，或者传null（如果你的Realm允许无密码重认证）
    RoleSelectedToken token = new RoleSelectedToken(username, null, selectedRole);
    SecurityUtils.getSubject().login(token);
    return "redirect:/home";
}

注意：这个方案需要处理密码缓存的问题，第一次登录后可以把用户密码暂存到Session或分布式缓存中，避免重复让用户输入密码。

方案二：基于会话存储选中角色，在授权阶段过滤权限 #

这个方案不需要登出重新登录，而是在用户选择角色后，把选中的角色存到Shiro Session中，然后在Realm的授权逻辑里只返回该角色对应的权限。

具体步骤： #

1. 前端传递选中角色到后端，将其存入Shiro Session：

@RequestMapping("/selectRole")
public String selectRole(String selectedRole) {
    Subject currentUser = SecurityUtils.getSubject();
    currentUser.getSession().setAttribute("selectedRole", selectedRole);
    return "redirect:/home";
}

2. 自定义JDBCRealm，重写doGetAuthorizationInfo方法，根据Session中的selectedRole过滤权限：

public class CustomJdbcRealm extends JdbcRealm {
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        Subject currentUser = SecurityUtils.getSubject();
        String selectedRole = (String) currentUser.getSession().getAttribute("selectedRole");
        
        if (selectedRole == null) {
            // 如果用户没选角色，保留原有逻辑返回所有角色权限
            return super.doGetAuthorizationInfo(principals);
        }
        
        // 查询选中角色对应的权限
        String permissionSql = "SELECT permission FROM role_permissions WHERE role_name = ?";
        List<String> permissions = getJdbcTemplate().queryForList(permissionSql, String.class, selectedRole);
        
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        info.addRole(selectedRole);
        info.addStringPermissions(permissions);
        return info;
    }
}

优点：不需要重新登录，用户体验更流畅；缺点：每次授权都会查询数据库（可以加本地缓存优化），而且要注意Session中selectedRole的安全性，比如可以给字段加签名验证，防止被恶意篡改。

重点提醒 #

这两种方案都属于“hack”方式，不符合Shiro的设计初衷——Subject本应代表用户的真实身份，切换角色相当于临时修改身份，可能带来以下隐患：

• 线程安全问题：如果用户同时发起多个请求，可能出现权限不一致的情况
• 会话状态混乱：如果用户未切换角色就直接关闭页面，下次登录可能会保留上次的选中角色
• 调试难度增加：自定义逻辑会让权限排查变得更复杂

如果有空间，建议尽量说服产品调整需求，但如果必须实现，上面的方案是可以跑通的。

内容的提问来源于stack exchange，提问作者Garci García