一、认证与授权执行流程
之前我们在配置Shiro+JWT的时候，Shiro的认证与授权的实现功能并没有完成。
现在Controller中的validCanCheckIn()方法，并不是Shiro放行请求的Web方法。所以发送给validCanCheckIn()方法的请求一定会被Shiro拦截下来，先由OAuth2Filter检查请求头的Token是否合法。如果没问题，接下来就要由OAuth2Realm中的doGetAuthenticationInfo()方法来颁发认证对象。请求被赋予了认证对象，那么请求才会被发送到Web方法来执行。
二、查询用户信息
因为在认证方法里面要返回认证对象，认证对象创建的时候要传入用户信息和令牌，所以我们这里就要查询用户信息，然后判断用现在是在职还是离职状态。如果是在职状态，那就可以创建认证对象，反之就抛出异常。
编辑TbUserDao.xml文件，添加查询方法
<select id="searchById" parameterType="int" resultType="com.example.emos.wx.db.pojo.TbUser">SELECTid, open_id, nickname, photo, name, sex, tel, role, root, dept_id, status, create_timeFROM tb_user WHERE id=#{userId} AND status = 1
</select>