角色针对人划分的，人作为用户在系统中属于活动内容，如果该 角色可以访问的资源出现变更，需要修改你的代码了，
if(user.hasRole('部门经理') || user.hasRole('总经理') ){ //系统资源内容 //用户报表查看 }基于角色的访问控制是不利于系统维护(可扩展性不强)。
1.3.2基于资源的访问控制RBAC(Resource based access control)，基于资源的访问控制。
资源在系统中是不变的，比如资源有：类中的方法，页面中的按钮。
对资源的访问需要具有permission权限，代码可以写为： if(user.hasPermission ('用户报表查看（权限标识符）')){ //系统资源内容 //用户报表查看 }建议使用基于资源的访问控制实现权限管理。
二、 粗粒度和细粒度权限细粒度权限管理：对资源实例的权限管理。资源实例就资源类型的具体化，比如：用户id为001的修改连接，1110班的用户信息、行政部的员工。细粒度权限管理就是数据级别的权限管理。
粗粒度权限管理比如：超级管理员可以访问户添加页面、用户信息等全部页面。部门管理员可以访问用户信息页面包括 页面中所有按钮。
粗粒度和细粒度例子：
系统有一个用户列表查询页面，对用户列表查询分权限， 如果粗颗粒管理，张三和李四都有用户列表查询的权限，张三和李四都可以访问用户列表查询。 进一步进行细颗粒管理，张三（行政部）和李四(开发部)只可以查询自己本部门的用户信息。 张三只能查看行政部 的用户信息，李四只能查看开发部门的用户信息。 细粒度权限管理就是数据级别的权限管理。 2.1如何实现粗粒度权限管理？粗粒度权限管理比较容易将权限管理的代码抽取出来在系统架构级别统一处理。比如：通过springmvc的拦截器实现授权。
对细粒度权限管理在数据级别是没有共性可言，针对细粒度权限管理就是系统业务逻辑的一部分，在业务层去处理相对比较简单
比如：部门经理只查询本部门员工信息，在service接口提供一个部门id的参数，controller中根据当前用户的信息得到该 用户属于哪个部门，调用service时将部门id传入service，实现该用户只查询本部门的员工。
2.1.1基于URL拦截基于url拦截的方式实现在实际开发中比较常用的一种方式。
对于web系统，通过filter过虑器实现url拦截，也可以springmvc的拦截器实现基于url的拦截。
2.2.2使用权限管理框架实现对于粗粒度权限管理，建议使用优秀权限管理框架来实现，节省开发成功，提高开发效率。
shiro就是一个优秀权限管理框架。
三、回顾URL拦截我们在学习的路途上也是使用过几次URL对权限进行拦截的
当时我们做了权限的增删该查的管理系统，但是在权限表中是没有把资源添加进去，我们使用的是Map集合来进行替代的。
随后，我们学习了动态代理和注解，我们也做了一个基于注解的拦截
在Controller得到service对象的时候，service工厂返回的是一个动态代理对象回去
Controller拿着代理对象去调用方法，代理对象就会去解析该方法上是否有注解
如果有注解，那么就需要我们进行判断该主体是否认证了，如果认证了就判断该主体是否有权限
当我们解析出该主体的权限和我们注解的权限是一致的时候，才放行！
流程:
我们之前认证都是放在默认的Javabean对象上的，现在既然我们准备学Shiro了，我们就得专业一点，弄一个专门存储认证信息的JavaBean
/** * 用户身份信息，存入session 由于tomcat将session会序列化在本地硬盘上，所以使用Serializable接口 * * @author Thinkpad * */ public class ActiveUser implements java.io.Serializable { private String userid;//用户id（主键） private String usercode;// 用户账号 private String username;// 用户名称 private List<SysPermission> menus;// 菜单 private List<SysPermission> permissions;// 权限 public String getUsername() { return username; } public void setUsername(String username) { this.username = username; } public String getUsercode() { return usercode; } public void setUsercode(String usercode) { this.usercode = usercode; } public String getUserid() { return userid; } public void setUserid(String userid) { this.userid = userid; } public List<SysPermission> getMenus() { return menus; } public void setMenus(List<SysPermission> menus) { this.menus = menus; } public List<SysPermission> getPermissions() { return permissions; } public void setPermissions(List<SysPermission> permissions) { this.permissions = permissions; } }