我正在阅读 shiro 文档，但从未发现任何迹象表明 shiro 支持 API 级别的用户组概念。
我原以为Subject.java 会有getUserGroups 这样的方法，但它没有。例如，如果我编写一些旨在与多种身份验证系统一起使用的应用程序，当用户创建某个对象时，我想让对象创建者组中的所有用户都可以看到它，并以身份验证提供者不可知的方式进行, 使用一些外观 API，比如 shiro Subject。
但是看起来我无法使用shiro api 执行此操作，对吗？
您如何在多重身份验证应用程序中支持用户组概念？
我应该写一些UserGroupAwareSubject 扩展吗？
【问题讨论】：
标签： authorization shiro
Shiro 从 1.2 开始在其 API 中没有组概念 - 它具有角色和权限的概念。
如果您只有角色或者您可以使用您的组名作为 Shiro 所称的角色（即 realm.hasRole(roleIdentifier, authzInfo) 使用您的组名作为“roleIdentifier”），这不是问题。
如果您的应用程序中同时包含 Role 和 Group 概念，您可能无法轻松地使用 subject.hasRole 来检查两者。如果您希望将此作为一项功能，请打开feature request。
如果你想让它工作，有两个选项是：
使用一个 Realm 来执行这两项操作，只需在用于组检查的字符串前面加上一个可识别的标记，例如：
subject.hasRole("group:myGroupName");
然后你的领域可以检查是否有该前缀，如果有，进行组检查，如果没有，进行角色检查。
除了这些选项，很多人在这种情况下所做的就是完全忽略角色和组检查，而是依赖（更强大的）代码中的权限检查：
subject.isPermitted("document:1234:read");
然后您的领域可以检查主题和任何分配给它的组或角色，以查看它们是否暗示该权限。如果是这样，那么您根本不需要任何组或角色检查，因为您的代码依赖于权限而不是（可能不稳定且众多）组/角色概念。
why permissions are probably better than Role or Group checks 有一些很好的理由，但如果您不这么认为并且仍然希望 Subject API 中表示的组，请打开一个功能请求。
问候，
莱斯
【讨论】：