许滔（同济大学，上海　201800）

XU Tao（School of Electronic and Information Engineering,Tongji University，Shanghai 201800）

基于Shiro的移动应用权限控制系统的设计与实现

许滔
（同济大学，上海201800）

0　引言

随着移动互联网高速发展，越来越多的传统企业和软件被影响甚至被颠覆。移动互联网很多特有的性质不同于传统Web服务。首先是移动性，每个终端都摆脱了网线和电源线的依赖，能够做到随时随地上网，这也就导致了碎片化上网这个特点。其次就是本地化，移动端能够通过多种定位方式来获取丰富的LBS服务，这也带来了位置信息隐私安全的问题。权限控制系统作为后台系统中重要的组成部分，有很多成熟的框架，例如Spring Security、Apache Shiro等，但是这些框架都是针对Web应用的，虽然具有身份认证、授权、会话管理、加密等安全模块，都是基于角色访问控制（RBAC）来实现的，但是对于移动互联网的特性支持的并不多，需要在这些框架的基础上做出扩展。本文是基于常用的权限控制框架Apache Shiro，结合移动互联网的特性，扩展了该框架对动态URL的支持、位置支持和其他相关移动特性支持。

1　系统总体设计

基于Shrio的移动应用权限控制系统继承了Shrio的权限控制模型，利用Shrio提供的安全管理器实现用户访问的身份认证和授权管理，系统必须集成Shrio并提供所需要的用户、角色、权限域。系统管理员能够根据规则输入不同过滤器动态地控制移动端对接口的访问控制。

1.1系统的功能需求分析

为了实现对RESTful API的动态权限控制，后端提供的接口必须完全遵守Restful标准，每个URI对应一种资源，客户端通过不同的HTTP动词来操作服务器，使得服务器端发生状态转移。……