r即可。如果非常简单的cookie，可以直接实现RememberMeManager的几个接口方法也行
【Apache Shiro in Spring】自定义filterChainDefinitions和Realm
文章出处
在Spring Context中定义shiroFilter(org.apache.shiro.spring.web.ShiroFilterFactoryBean)时需要为其filterChainDefinitions property赋值，这个属性是个chainName-to-chainDefinition map of chain definitions，用于为URL定义过滤策略。
filterChainDefinitions是一个set method，他调用setFilterChainDefinitionMap(section)，FilterChainDefinitionMap是个Field。
比如，这是我定义的：
/404.htm = anon /main!main.html = anon /**.html = perms[myPerm_1]
在这里引用一下某前辈总结的chainDefinition，如下：
rest：比如/admins/user/**=rest[user],根据请求的方法，相当于/admins/user/**=perms[user：method] ,其中method为post，get，delete等。
port：比如/admins/user/**=port[8081],当请求的url的端口不是8081是跳转到schemal：//serverName：8081?queryString,其中schmal是协议http或https等，serverName是你访问的host,8081是url配置里port的端口，queryString是你访问的url里的？后面的参数。
perms：比如/admins/user/**=perms[user：add：*],perms参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，比如/admins/user/**=perms["user：add：*,user：modify：*"]，当有多个参数时必须每个参数都通过才通过，想当于isPermitedAll()方法。
roles：比如/admins/user/**=roles[admin],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，当有多个参数时，比如/admins/user/**=roles["admin,guest"],每个参数通过才算通过，相当于hasAllRoles()方法。
anon：比如/admins/**=anon 没有参数，表示可以匿名使用。
authc：比如/admins/user/**=authc表示需要认证才能使用，没有参数
authcBasic：比如/admins/user/**=authcBasic没有参数表示httpBasic认证
ssl：比如/admins/user/**=ssl没有参数，表示安全的url请求，协议为https
user：比如/admins/user/**=user没有参数表示必须存在用户，当登入操作时不做检查
一般情况下，我们可以将模块作为一个授权单位，例如：
/blog!**.html = user
偶尔也会有将每一个URL作为一个授权单位进行控制，例如：
/blog!doAddNewArticle.html = authc,perms[addArticle]
但是URL的数量让人头疼，也许可以每开发一个功能的时候打开XML文件写入URL然后同步到SVN，或者我们也可以找一个人专门做这些事情，无论是添加、删除功能还是修改方法名都通知这个人去做...换位思考一下，我不希望我是这个人...
所以我要把这些URL放在数据库进行管理。我要把他们统统Query出来放到filterChainDefinitions里。
我需要装配一个Bean，实际上他是一个org.springframework.beans.factory.FactoryBean<Section>的实现。
<bean id="chainFilterBuff"
class="king.common.ChainFilterBuff">
<property name="filterChainDefinitions">
/404.htm = anon
/main!main.html = anon
</property>
</bean>
然后将其注入：
<bean id="shiroFilter1"
class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager" />
<property name="loginUrl" value="/main!main.html" />
<property name="successUrl" value="/main!main.html" />
<property name="unauthorizedUrl" value="/unAuthorized.htm" />
<property name="filterChainDefinitionMap" ref="chainFilterBuff" />
</bean>
Java代码中implements FactoryBean<Ini.Section>并实现需要Override的method，关键是getObject这个method：
private String filterChainDefinitions;
@Override
public Section getObject() throws Exception {
Ini ini = new Ini();
ini.load(filterChainDefinitions); //先载入XML中定义好的chain
Ini.Section section = ini.getSection(Ini.DEFAULT_SECTION_NAME);
/*
* 省略读取步骤
* 继续加入数据库中的chain
* section.put("/**", "authc, roles[admin]");
*/
return section;
}
等等，这些仅仅是定义了权限。
我们需要在用户访问这些URL的时候去验证一下用户是否具备当前URL权限。
所以我定义了(事实上我们必须定义一个Realm，ShiroFilterFactoryBean需要SecurityManager，而我们使用的SecurityManager的实现类DefaultWebSecurityManager则需要一个Realm!)：
<bean id="shiroDataBaseRealm" class="king.security.KingMainRealm">
并且Override了接口定义的method：
public class KingMainRealm extends AuthorizingRealm {
@Override
protected AuthorizationInfo doGetAuthorizationInfo( //授权
PrincipalCollection principals) {
UserBean _user = (UserBean) principals.fromRealm(getName()).iterator().next();
SimpleAuthorizationInfo authInfo = new SimpleAuthorizationInfo();
/*
* 省略
*/
return authInfo;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo( //认证
AuthenticationToken token) throws AuthenticationException {
UserBean user = new UserBean();
UsernamePasswordToken userToken = (UsernamePasswordToken)token;
user.setUserName(userToken.getUsername());
user.setPassword(userToken.getPassword());
return new SimpleAuthenticationInfo(user, user.getPassword(), getName());
}
}
若已定义了需要请求的URL，用户登录时doGetAuthorizationInfo会被调用，剩下的就是为每一个用户管理这些权限了。
也许我们可以创建角色关联多个权限，用户关联多个角色，类似这样的设置不同的层次。
按你喜欢的方式去做吧