在ShiroFilterFactoryBean初始化的过程中，会执行一个setFilterChainDefinitionMap方法，传入了一个Map，该Map就是URL与权限的对应关系。

编写一个实例工厂方法

FilterChainDefinitionMapBuilder.java：

public class FilterChainDefinitionMapBuilder {
    public LinkedHashMap<String, String> buildFilterChainDefinitionMap(){
        LinkedHashMap<String,String> map = new LinkedHashMap<>();
        map.put("/login.jsp", "anon");
        map.put("/shiro/login", "anon");
        map.put("/shiro/logout", "logout");
        map.put("/user.jsp", "roles[user]");
        map.put("/admin.jsp", "roles[admin]");
        map.put("/**", "authc");
        return map;
    }
}

该工厂方法内部可以访问数据库，或访问外部配置文件，进行权限配置的动态加载。

配置IOC容器

applicationContext.xml

    <bean id="shiroFilter"
        class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager" />
        <property name="loginUrl" value="/login.jsp" />
        <property name="successUrl" value="/list.jsp" />
        <property name="unauthorizedUrl" value="/unauthorized.jsp" />


        <property name="filterChainDefinitionMap"
            ref="filterChainDefinitionMap" />

    <!-- 配置一个bean,该bean实际上是一个map,通过实例工厂方法的方法 -->
    <bean id="filterChainDefinitionMap"
        factory-bean="filterChainDefinitionMapBuilder"
        factory-method="buildFilterChainDefinitionMap"></bean>

    <bean id="filterChainDefinitionMapBuilder"
        class="com.shen.shiro.factory.FilterChainDefinitionMapBuilder"></bean>

（1）配置一个实例工厂方法，作为动态加载权限配置的载体。
（2）配置一个bean（Map），作为ShiroFilterFactoryBean的filterChainDefinitionMap属性的一个实例。
这样既可以去外部存储读取权限的配置信息。