Shiro
概述
shiro是什么
Apache Shiro 是一个功能强大且易于使用的 Java 安全(权限)框架。Shiro 可以完成:认证、授权、加密、会话管理、与 Web 集成、缓存 等。借助 Shiro 您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。
为什么要用
自 2003 年以来,框架格局发生了相当大的变化,因此今天仍然有很多系统在使用 Shiro。这与 Shiro 的特性密不可分。
- 易于使用:使用 Shiro 构建系统安全框架非常简单。就算第一次接触也可以快速掌握。
- 全面:Shiro 包含系统安全框架需要的功能,满足安全需求的“一站式服务”。
- 灵活:Shiro 可以在任何应用程序环境中工作。虽然它可以在 Web、EJB 和 IoC 环境中工作,但不需要依赖它们。Shiro 也没有强制要求任何规范,甚至没有很多依赖项。
- 强力支持 Web:Shiro 具有出色的 Web 应用程序支持,可以基于应用程序 URL 和 Web 协议(例如 REST)创建灵活的安全策略,同时还提供一组 JSP 库来控制页面输出。
- 兼容性强:Shiro 的设计模式使其易于与其他框架和应用程序集成。Shiro 与 Spring、Grails、Wicket、Tapestry、Mule、Apache Camel、Vaadin 等框架无缝集成。
- 社区支持:Shiro 是 Apache 软件基金会的一个开源项目,有完备的社区支持,文档支持。如果需要,像 Katasoft 这样的商业公司也会提供专业的支持和服务。
与 SpringSecurity 的对比
- Spring Security 基于 Spring 开发,项目若使用 Spring 作为基础,配合 Spring Security 做权限更加方便,而 Shiro 需要和 Spring 进行整合开发;
- Spring Security 功能比 Shiro 更加丰富些,例如安全维护方面;
- Spring Security 社区资源相对比 Shiro 更加丰富;
- Shiro 的配置和使用比较简单,Spring Security 上手复杂些;
- Shiro 依赖性低,不需要任何框架和容器,可以独立运行.Spring Security 依赖 Spring 容器;
- shiro 不仅仅可以使用在 web 中,它可以工作在任何应用环境中。在集群会话时 Shiro 最重要的一个好处或许就是它的会话是独立于容器的。
基本功能
介绍
- Authentication:身份认证/登录,验证用户是不是拥有相应的身份;
- Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用 户是否能进行什么操作,如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户 对某个资源是否具有某个权限;
- Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的 所有 信息都在会话中;会话可以是普通 JavaSE 环境,也可以是 Web 环境的;
- Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
- Web Support:Web 支持,可以非常容易的集成到 Web 环境;
- Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可 以提高效率;
- Concurrency:Shiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去;
- Testing:提供测试支持;
- Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
- Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了
原理
Shiro 架构(外部)
从外部来看 Shiro ,即从应用程序角度的来观察如何使用Shiro 完成工作
- Shiro 架构
Subject
:应用代码直接交互的对象是 Subject,也就是说 Shiro 的对外 API 核心 就是 Subject。Subject 代表了当前“用户”, 这个用户不一定 是一个具体的人,与当 前应用交互的任何东西都是 Subject,如网络爬虫, 机器人等;与 Subject 的所有交互 都会委托给 SecurityManager; Subject 其实是一个门面,SecurityManager 才是实际的执行者;SecurityManager
:安全管理器;即所有与安全有关的操作都会与 SecurityManager交互;且其管理着所有 Subject;可以看出它是 Shiro 的核心,它负责与 Shiro 的其他组件进行交互,它相当于 SpringMVC 中 DispatcherServlet 的角色Realm
:Shiro 从 Realm 获取安全数据(如用户、角色、权限),就是说SecurityManager 要验证用户身份,那么它需要从 Realm 获取相应的用户 进行比较以确定用户身份是否合法;也需要从 Realm 得到用户相应的角色/ 权限进行验证用户是否能进行操作;可以把 Realm 看成 DataSource
shiro架构(内部)
Subject
:任何可以与应用交互的“用户”;SecurityManager
:相当于 SpringMVC 中的 DispatcherServlet;是 Shiro 的心脏; 所有具体的交互都通过 SecurityManager 进行控制;它管理着所有 Subject、且负责进 行认证、授权、会话及缓存的管理。Authenticator
:负责 Subject 认证,是一个扩展点,可以自定义实现;可以使用认证策略(Authentication Strategy),即什么情况下算用户认证通过了;Authorizer
:授权器、即访问控制器,用来决定主体是否有权限进行相应的操作;即控制着用户能访问应用中的哪些功能;Realm
:可以有 1 个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的;可以是 JDBC 实现,也可以是内存实现等等;由用户提供;所以一般在应用中都需要实现自己的 Realm;SessionManager
:管理 Session 生命周期的组件;而 Shiro 并不仅仅可以用在 Web环境,也可以用在如普通的 JavaSE 环境CacheManager
:缓存控制器,来管理如用户、角色、权限等的缓存的;因为这些数据 基本上很少改变,放到缓存中后可以提高访问的性能Cryptography
:密码模块,Shiro 提高了一些常见的加密组件用于如密码加密/解密。
使用
环境搭建
引入依赖
<dependencies><dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-core</artifactId><version>1.9.0</version></dependency><dependency><groupId>commons-logging</groupId><artifactId>commons-logging</artifactId><version>1.2</version></dependency></dependencies>
ini文件
[users]
fate=zero
fuck=me
登录认证
登录认证概念
- 身份验证:一般需要提供如身份ID等一些标识信息来表明登录者的身份,如提供email,用户名/密码来证明。
- 在shiro中,用户需要提供principals(身份)和credentials(证明)给shiro,从而应用能验证用户身份:
- principals:身份,即主体的标识属性,可以是任何属性,如用户名、邮箱等,唯一即可。一个主体可以有多个principals,但只有一个Primary principals,一般是用户名/邮箱/手机号。
- credentials:证明/凭证,即只有主体知道的安全值,如密码/数字证书等。
- 最常见的principals和credentials组合就是用户名/密码
登录认证基本流程
- 收集用户身份/凭证,即如用户名/密码
- 调用 Subject.login 进行登录,如果失败将得到相应 的 AuthenticationException异常,根据异常提示用户 错误信息;否则登录成功
- 创建自定义的 Realm 类,继承 org.apache.shiro.realm.AuthenticatingRealm类,实现 doGetAuthenticationInfo() 方法
实例
四步走:
- 初始化获取SecurityManager
- 获取subject对象
- 创建token对象,web应用用户名密码从页面传递
- 完成登录
@Testvoidlogin(){// 1.初始化获取SecurityManagerIniSecurityManagerFactory factory =newIniSecurityManagerFactory("classpath:shiro.ini");SecurityManager securityManager = factory.getInstance();SecurityUtils.setSecurityManager(securityManager);// 2.获取subject对象Subject subject =SecurityUtils.getSubject();// 3.创建token对象,web应用用户名密码从页面传递UsernamePasswordToken usernamePasswordToken =newUsernamePasswordToken("fate","zero");// 4.完成登录
subject.login(usernamePasswordToken);System.out.println(usernamePasswordToken);}
角色,授权
授权概念
- 授权,也叫访问控制,即在应用中控制谁访问哪些资源(如访问页面/编辑数据/页面 操作等)。在授权中需了解的几个关键对象:
主体(Subject)
、资源(Resource)
、权限 (Permission)
、角色(Role)
。 - **主体(Subject)**:访问应用的用户,在 Shiro 中使用 Subject 代表该用户。用户只有授权 后才允许访问相应的资源。
- **资源(Resource)**:在应用中用户可以访问的 URL,比如访问 JSP 页面、查看/编辑 某些 数据、访问某个业务方法、打印文本等等都是资源。用户只要授权后才能访问。
- **权限(Permission)**:安全策略中的原子授权单位,通过权限我们可以表示在应用中用户 有没有操作某个资源的权力。即权限表示在应用中用户能不能访问某个资源,如:访问用 户列表页面查看/新增/修改/删除用户数据(即很多时候都是CRUD(增查改删)式权限控 制)等。权限代表了用户有没有操作某个资源的权利,即反映在某个资源上的操作允不允 许。
- Shiro 支持粗粒度权限(如用户模块的所有权限)和细粒度权限(操作某个用户的权限, 即实例级别的)
- **角色(Role)**:
权限的集合
,一般情况下会赋予用户角色而不是权限,即这样用户可以拥有 一组权限,赋予权限时比较方便。典型的如:项目经理、技术总监、CTO、开发工程师等 都是角色,不同的角色拥有一组不同的权限
授权方式
编程式:
subject.hasRole("admin")
注解式:
@RequiresRoles("admin")
JSP/GSP 标签:
<shiro:hasRole name="admin">
</shiro:hasRole>
授权流程
- 首先调用Subject.isPermitted*/hasRole*接口,其会委托给SecurityManager,而SecurityManager接着会委托给 Authorizer;
- Authorizer是真正的授权者,如果调用如isPermitted(“user:view”),其首先会通过PermissionResolver把字符串转换成相应的Permission实例;
- 在进行授权之前,其会调用相应的Realm获取Subject相应的角色/权限用于匹配传入的角色/权限;
- Authorizer会判断Realm的角色/权限是否和传入的匹配,如果有多个Realm,会委托给ModularRealmAuthorizer进行循环判断,如果匹配如isPermitted*/hasRole* 会返回 true,否则返回false表示授权失败
实例
@TestvoidtestLogin(){// 1.初始化获取SecurityManagerIniSecurityManagerFactory factory =newIniSecurityManagerFactory("classpath:shiro.ini");SecurityManager securityManager = factory.getInstance();assert securityManager !=null;SecurityUtils.setSecurityManager(securityManager);// 2.获取subject对象Subject subject =SecurityUtils.getSubject();// 3.创建token对象,web应用用户名密码从页面传递UsernamePasswordToken usernamePasswordToken =newUsernamePasswordToken("fate","zero");// 4.完成登录
subject.login(usernamePasswordToken);System.out.println(usernamePasswordToken);System.out.println("admin:"+subject.hasRole("admin"));System.out.println("root:"+subject.hasRole("root"));System.out.println("user:"+subject.hasRole("user"));System.out.println("user:add:"+subject.isPermitted("user:add"));System.out.println("user:update:"+subject.isPermitted("user:update"));// 无此权限直接抛出异常
subject.checkPermission("user:update");
加密
实际系统开发中,一些敏感信息需要进行加密,比如说用户的密码。Shiro 内嵌很多 常用的加密算法,比如 MD5 加密。Shiro 可以很简单的使用信息加密。
@TestvoidtestMD5(){String password ="password";Md5Hash md5Hash =newMd5Hash(password);System.out.println("md5Hash = "+ md5Hash.toHex());Md5Hash saltMd5Hash =newMd5Hash(password,"salt");System.out.println("saltMd5Hash = "+ saltMd5Hash);Md5Hash saltMd5Hash3 =newMd5Hash(password,"salt",3);System.out.println("saltMd5Hash3 = "+ saltMd5Hash3);SimpleHash simpleHash =newSimpleHash("MD5", password,"salt",3);System.out.println("simpleHash = "+ simpleHash);assert simpleHash.equals(saltMd5Hash3);}
自定义登陆认证
Shiro 默认的登录认证是不带加密的,如果想要实现加密认证需要自定义登录认证, 自定义 Realm。
publicclassMyRealmextendsAuthenticatingRealm{/**
* 自定义的登录认证方法,Shiro 的 login 方法底层会调用该类的认证方法完成登录认证
* 需要配置自定义的 realm 生效,在 ini 文件中配置,或 Springboot 中配置
* 该方法只是获取进行对比的信息,认证逻辑还是按照 Shiro 的底层认证逻辑完成认证
* @param token 令牌
* @return {@link AuthenticationInfo}
* @throws AuthenticationException 身份验证异常
*/@OverrideprotectedAuthenticationInfodoGetAuthenticationInfo(AuthenticationToken token)throwsAuthenticationException{// 1 获取身份信息String principal = token.getPrincipal().toString();System.out.println("principal = "+ principal);// 2 获取凭证信息String credentials =newString((char[]) token.getCredentials());System.out.println("credentials = "+ credentials);// 3 获取数据库中存储的用户信息if("fate".equals(principal)){String pwd ="dda5359be921db4f73a69223ec264c11";returnnewSimpleAuthenticationInfo(
token.getPrincipal(),
pwd,ByteSource.Util.bytes("salt"), principal);}// 4 创建封装校验逻辑对象returnnull;}}
添加配置信息,让shiro知晓你使用的是自定义的Realm
[main]
2、在shiro.ini中添加配置信息
md5CredentialsMatcher=org.apache.shiro.authc.cre
dential.Md5CredentialsMatcher
md5CredentialsMatcher.hashIterations=3
myrealm=com.atguigu.shirotest.MyRealm
myrealm.credentialsMatcher=$md5CredentialsMatcher
securityManager.realms=$myrealm
[users]
zhangsan=7174f64b13022acd3c56e2781e098a5f,role1,
role2
lisi=l4
[roles]
role1=user:insert,user:select
整合springboot
框架整合
- 引入依赖
<parent><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-parent</artifactId><version>2.2.1.RELEASE</version></parent><dependencies><dependency><groupId>org.apache.shiro</groupId><artifactId>shiro-spring-boot-web-starter</artifactId><version>1.9.0</version></dependency><!--mybatis-plus--><dependency><groupId>com.baomidou</groupId><artifactId>mybatis-plus-boot-starter</artifactId><version>3.0.5</version></dependency><!--mysql--><dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId><version>5.1.46</version></dependency><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-thymeleaf</artifactId></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency></dependencies>
- 配置文件
# mybatis配置mybatis-plus:configuration:# 日志log-impl: org.apache.ibatis.logging.stdout.StdOutImpl
mapper-locations: classpath:mapper/*.xmlspring:# 数据库配置datasource:type: com.zaxxer.hikari.HikariDataSource
driver-class-name: com.mysql.jdbc.Driver
url: jdbc:mysql://localhost:3306/shirodb?characterEncoding=utf-8&useSSL=falsepassword: password
username: username
# json格式jackson:date-format: yyyy-MM-dd HH:mm:ss
time-zone: GMT+8
shiro:# 登录接口loginUrl: /myController/login
- 启动类
@SpringBootApplication@MapperScan("com.fate.shiro.mapper")publicclassShiroApplication{publicstaticvoidmain(String[] args){SpringApplication.run(ShiroApplication.class, args);}}
登录认证实现
后端接口服务实现
- 数据库表
createtableuser(
id bigintauto_incrementcomment'编号'primarykey,
name varchar(30)nullcomment'用户名',
pwd varchar(50)nullcomment'密码',
rid bigintnullcomment'角色编号')comment'用户表'charset= utf8;
- 生产实体与mapper/service这里我使用的是mybatisx插件一键生成
- 编写userservice(此处只写明impl)
@ServicepublicclassUserServiceImplextendsServiceImpl<UserMapper,User>implementsUserService{/** * 根据用户名得到用户信息 * * @param name 名字 * @return {@link User} */@OverridepublicUsergetUserInfoByName(String name){LambdaQueryWrapper<User> queryWrapper =newLambdaQueryWrapper<>(); queryWrapper.eq(User::getName,name);return baseMapper.selectOne(queryWrapper);}}
- 自定义realm
@ComponentpublicclassMyRealmextendsAuthorizingRealm{@AutowiredprivateUserService userService;/** * 自定义授权 * * @param principals 权限 * @return {@link AuthorizationInfo} */@OverrideprotectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollection principals){returnnull;}/** * 自定义身份验证 * * @param token 令牌 * @return {@link AuthenticationInfo} * @throws AuthenticationException 身份验证异常 */@OverrideprotectedAuthenticationInfodoGetAuthenticationInfo(AuthenticationToken token)throwsAuthenticationException{// 1. 获取用户身份信息String name = token.getPrincipal().toString();// 2. 调用业务层获取用户信息User user = userService.getUserInfoByName(name);// 3. 非空判断,将数据封装返回if(user !=null){returnnewSimpleAuthenticationInfo( token.getPrincipal(), user.getPwd(),ByteSource.Util.bytes("salt"), name );}returnnull;}}
- 配置类
@Slf4j@ConfigurationpublicclassShiroConfig{@AutowiredprivateMyRealm myRealm;@BeanpublicDefaultWebSecurityManagerdefaultWebSecurityManager(){// 1. 创建DefaultWebSecurityManager对象DefaultWebSecurityManager defaultWebSecurityManager =newDefaultWebSecurityManager();// 2. 创建加密对象,配置相关属性HashedCredentialsMatcher matcher =newHashedCredentialsMatcher();// 2.1 加密 matcher.setHashAlgorithmName("md5"); matcher.setHashIterations(3);// 3. 将加密对象存储到myRealm中 myRealm.setCredentialsMatcher(matcher);// 4. 将myRealm存入DefaultWebSecurityManager对象 defaultWebSecurityManager.setRealm(myRealm);// 5. 返回DefaultWebSecurityManager log.info("DefaultWebSecurityManager 初始化成功");return defaultWebSecurityManager;}@BeanpublicDefaultShiroFilterChainDefinitionshiroFilterChainDefinition(){DefaultShiroFilterChainDefinition defaultShiroFilterChainDefinition =newDefaultShiroFilterChainDefinition();// 无需认证 defaultShiroFilterChainDefinition.addPathDefinition("/myController/userLogin","anon"); defaultShiroFilterChainDefinition.addPathDefinition("/login","anon");// 需要认证 defaultShiroFilterChainDefinition.addPathDefinition("/**","authc");return defaultShiroFilterChainDefinition;}}
- 编写controller
@RestController@RequestMapping("myController")publicclassMyController{/** * 登录 * @param username 用户名 * @param password 密码 * @return {@link String} */@GetMapping("userLogin")publicStringlogin(@RequestParam("username")String username,@RequestParam("password")String password){Subject subject =SecurityUtils.getSubject();UsernamePasswordToken usernamePasswordToken =newUsernamePasswordToken(username, password);try{ subject.login(usernamePasswordToken);return"success";}catch(Exception e){ e.printStackTrace();return"error";}}}
整合前端
- 在编写login.html
<!DOCTYPEhtml><htmllang="en"><head><metacharset="UTF-8"><title>Title</title></head><body><h1>Shiro 登录认证</h1><br><formaction="/myController/userLogin"><div>用户名:<inputtype="text"name="name"value=""></div><div>密码:<inputtype="password"name="pwd"value=""></div><div><inputtype="submit"value="登录"></div></form></body></html>
- 添加main界面
<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>Title</title></head><body><h1><br>Shiro 登录认证后主页面</h1>登录用户为: <spanth:text="${session.user}"></span></body>
- 继续编写controller
//跳转登录页面@GetMapping("login")publicStringlogin(){return"login";}//登录认证@GetMapping("userLogin")publicStringuserLogin(String name,String pwd,HttpSession session){//1 获取 Subject 对象Subject subject =SecurityUtils.getSubject();//2 封装请求数据到 token 对象中AuthenticationToken token =newUsernamePasswordToken(name,pwd);//3 调用 login 方法进行登录认证try{ subject.login(token); session.setAttribute("user",token.getPrincipal().toString());return"main";}catch(AuthenticationException e){ e.printStackTrace();System.out.println("登录失败");return"登录失败";}}
多个 realm 的认证策略设置
实现原理
当应用程序配置多个 Realm 时,例如:用户名密码校验、手机号验证码校验等等。 Shiro 的 ModularRealmAuthenticator 会使用内部的AuthenticationStrategy 组件判断认证是成功还是失败。
AuthenticationStrategy 是一个无状态的组件,它在身份验证尝试中被询问 4 次(这 4 次交互所需的任何必要的状态将被作为方法参数):
- 在所有 Realm 被调用之前
- 在调用 Realm 的 getAuthenticationInfo 方法之前
- 在调用 Realm 的 getAuthenticationInfo 方法之后
- 在所有 Realm 被调用之后
认证策略的另外一项工作就是聚合所有 Realm 的结果信息封装至一个AuthenticationInfo 实例中,并将此信息返回,以此作为 Subject 的身份信息。
Shiro 中定义了 3 种认证策略的实现:
AuthenticationStrategy class描述AtLeastOneSuccessfulStrategy只要有一个(或更多)的 Realm 验证成功,那么认证将视为成功FirstSuccessfulStrategy第一个 Realm 验证成功,整体认证将视为成功,且后续 Realm 将被忽略AllSuccessfulStrategy所有 Realm 成功,认证才视为成功
ModularRealmAuthenticator
内置的认证策略默认实现是
AtLeastOneSuccessfulStrategy
方式。可以通过配置修改策略
代码实现
@BeanpublicDefaultWebSecurityManagerdefaultWebSecurityManager(){//1 创建 defaultWebSecurityManager 对象DefaultWebSecurityManager defaultWebSecurityManager =newDefaultWebSecurityManager();//2 创建认证对象,并设置认证策略ModularRealmAuthenticator modularRealmAuthenticator =newModularRealmAuthenticator();
modularRealmAuthenticator.setAuthenticationStrategy(newAllSuccessfulStrategy());
defaultWebSecurityManager.setAuthenticator(modularRealmAuthenticator);//3 封装 myRealm 集合List<Realm> list =newArrayList<>();
list.add(myRealm);
list.add(myRealm2);//4 将 myRealm 存入 defaultWebSecurityManager 对象
defaultWebSecurityManager.setRealms(list);//5 返回return defaultWebSecurityManager;}
remember me
Shiro 提供了记住我(RememberMe)的功能,比如访问一些网站时,关闭了浏览器, 下次再打开时还是能记住你是谁, 下次访问时无需再登录即可访问。
基本流程
- 首先在登录页面选中 RememberMe 然后登录成功;如果是浏览器登录,一般会 把 RememberMe 的 Cookie 写到客户端并保存下来;
- 关闭浏览器再重新打开;会发现浏览器还是记住你的;
- 访问一般的网页服务器端,仍然知道你是谁,且能正常访问;
- 但是,如果我们访问电商平台时,如果要查看我的订单或进行支付时,此时还是需要再进行身份认证的,以确保当前用户还是你。
代码实现
修改配置类
@ConfigurationpublicclassShiroConfig{@AutowiredprivateMyRealm myRealm;//配置 SecurityManager@BeanpublicDefaultWebSecurityManagerdefaultWebSecurityManager(){//1 创建 defaultWebSecurityManager 对象DefaultWebSecurityManager defaultWebSecurityManager =newDefaultWebSecurityManager();//2 创建加密对象,并设置相关属性 HashedCredentialsMatcher matcher =newHashedCredentialsMatcher();//2.1 采用 md5 加密
matcher.setHashAlgorithmName("md5");//2.2 迭代加密次数
matcher.setHashIterations(3);//3 将加密对象存储到 myRealm 中
myRealm.setCredentialsMatcher(matcher);//4 将 myRealm 存入 defaultWebSecurityManager 对象
defaultWebSecurityManager.setRealm(myRealm);//4.5 设置 rememberMe
defaultWebSecurityManager.setRememberMeManager(rememberMeManager());//5 返回return defaultWebSecurityManager;}//cookie 属性设置publicSimpleCookierememberMeCookie(){SimpleCookie cookie =newSimpleCookie("rememberMe");//设置跨域//cookie.setDomain(domain);
cookie.setPath("/");
cookie.setHttpOnly(true);
cookie.setMaxAge(30*24*60*60);return cookie;}//创建 Shiro 的 cookie 管理对象publicCookieRememberMeManagerrememberMeManager(){CookieRememberMeManager cookieRememberMeManager =newCookieRememberMeManager();
cookieRememberMeManager.setCookie(rememberMeCookie());
cookieRememberMeManager.setCipherKey("1234567890987654".getBytes());return cookieRememberMeManager;}//配置 Shiro 内置过滤器拦截范围@BeanpublicDefaultShiroFilterChainDefinitionshiroFilterChainDefinition(){DefaultShiroFilterChainDefinition definition =newDefaultShiroFilterChainDefinition();//设置不认证可以访问的资源
definition.addPathDefinition("/myController/userLogin","anon");
definition.addPathDefinition("/myController/login","anon");//设置需要进行登录认证的拦截范围
definition.addPathDefinition("/**","authc");//添加存在用户的过滤器(rememberMe)
definition.addPathDefinition("/**","user");return definition;}}
修改controller
@GetMapping("userLogin")publicStringuserLogin(String name,String pwd,@RequestParam(defaultValue ="false")boolean rememberMe,HttpSession session){//1 获取 Subject 对象Subject subject =SecurityUtils.getSubject();//2 封装请求数据到 token 对象中AuthenticationToken token =newUsernamePasswordToken(name, pwd, rememberMe);//3 调用 login 方法进行登录认证try{
subject.login(token);
session.setAttribute("user", token.getPrincipal().toString());return"main";}catch(AuthenticationException e){
e.printStackTrace();System.out.println("登录失败");return"登录失败";}}//登录认证验证 rememberMe@GetMapping("userLoginRm")publicStringuserLogin(HttpSession session){
session.setAttribute("user","rememberMe");return"main";}
改造login页面
<!DOCTYPEhtml><htmllang="en"><head><metacharset="UTF-8"><title>Title</title></head><body><h1>Shiro 登录认证</h1><br><formaction="/myController/userLogin"><div>用户名:<inputtype="text"name="name"value=""></div><div>密码:<inputtype="password"name="pwd"value=""></div><div>记住用户:<inputtype="checkbox"name="rememberMe"value="true"></div><div><inputtype="submit"value="登录"></div></form></body></html>
退出登陆
用户登录后,配套的有登出操作。直接通过Shiro过滤器即可实现登出
代码实现
- 修改main.html
<body><h1>Shiro 登录认证后主页面</h1><br>
登录用户为:<spanth:text="${session.user}"></span><br><ahref="/logout">登出</a></body>
- 配置类中添加logout过滤器
@BeanpublicDefaultShiroFilterChainDefinitionshiroFilterChainDefinition(){DefaultShiroFilterChainDefinition definition =newDefaultShiroFilterChainDefinition();//设置不认证可以访问的资源
definition.addPathDefinition("/myController/userLogin","anon");
definition.addPathDefinition("/myController/login","anon");//配置登出过滤器
definition.addPathDefinition("/logout","logout");//设置需要进行登录认证的拦截范围
definition.addPathDefinition("/**","authc");//添加存在用户的过滤器(rememberMe)
definition.addPathDefinition("/**","user");return definition;}
授权、角色认证
用户登录后,需要验证是否具有指定角色指定权限。Shiro也提供了方便的工具进判
这个工具就是Realm的doGetAuthorizationInfo方法进行判断。触发权限判断的有两种:
- 在页面中通过shiro:属性判断
- 在接口服务中通过注解@Requires进行判断
后端接口服务注解
通过给接口服务方法添加注解可以实现权限校验,可以加在控制器方法上,也可以加
在业务方法上,一般加在控制器方法上。常用注解如下:
@RequiresAuthentication
验证用户是否登录,等同于方法subject.isAuthenticated()@RequiresUser
验证用户是否被记忆: 登录认证成功subject.isAuthenticated()为true 登录后被记忆subject.isRemembered()为true@RequiresGuest
验证是否是一个guest的请求,是否是游客的请求 此时subject.getPrincipal()为null@RequiresRoles
验证subject是否有相应角色,有角色访问方法,没有则会抛出异常 AuthorizationException。 例如:@RequiresRoles(“aRoleName”) void someMethod(); 只有subject有aRoleName角色才能访问方法someMethod()@RequiresPermissions
验证subject是否有相应权限,有权限访问方法,没有则会抛出异常 AuthorizationException。 例如:@RequiresPermissions (“file:read”,”wite:aFile.txt”) void someMethod(); subject必须同时含有file:read和wite:aFile.txt权限才能访问方someMethod()
授权验证-获取角色进行验证
- 修改MyRealm
@OverrideprotectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollection principalCollection){System.out.println("进入自定义授权方法");//1 创建对象,存储当前登录的用户的权限和角色SimpleAuthorizationInfo info =newSimpleAuthorizationInfo();//2 存储角色 info.addRole("admin");//返回return info;}
- 添加数据库表
CREATETABLE`role`(`id`BIGINT(20)NOTNULLAUTO_INCREMENTCOMMENT'编号',`name`VARCHAR(30)DEFAULTNULLCOMMENT'角色名',`desc`VARCHAR(50)DEFAULTNULLCOMMENT'描述',`realname`VARCHAR(20)DEFAULTNULLCOMMENT'角色显示名',PRIMARYKEY(`id`))ENGINE=INNODBAUTO_INCREMENT=2DEFAULTCHARSET=utf8 COMMENT='角色表';CREATETABLE`role_user`(`id`BIGINT(20)NOTNULLAUTO_INCREMENTCOMMENT'编号',`uid`BIGINT(20)DEFAULTNULLCOMMENT'用户 id',`rid`BIGINT(20)DEFAULTNULLCOMMENT'角色 id',PRIMARYKEY(`id`))ENGINE=INNODBAUTO_INCREMENT=2DEFAULTCHARSET=utf8 COMMENT='角色用户映射表';
- mapper
@RepositorypublicinterfaceUserMapperextendsBaseMapper<User>{@Select("SELECT NAME FROM role WHERE id IN (SELECT rid FROM role_user WHERE uid=(SELECT id FROM USER WHERE NAME=#{principal}))")List<String>getUserRoleInfoMapper(@Param("principal")String principal);}
- service
@OverridepublicList<String>getUserRoleInfo(String principal){return userMapper.getUserRoleInfoMapper(principal);}
- MyRealm 方法改造
@OverrideprotectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollection principalCollection){System.out.println("进入自定义授权方法");//获取当前用户身份信息String principal = principalCollection.getPrimaryPrincipal().toString();//调用接口方法获取用户的角色信息List<String> roles = userService.getUserRoleInfo(principal);System.out.println("当前用户角色信息:"+roles);//创建对象,存储当前登录的用户的权限和角色SimpleAuthorizationInfo info =newSimpleAuthorizationInfo();//存储角色}info.addRoles(roles);//返回 return info;}
授权验证-获取权限进行验证
- 添加数据库表
CREATETABLE`permissions`(`id`BIGINT(20)NOTNULLAUTO_INCREMENTCOMMENT'编号',`name`VARCHAR(30)DEFAULTNULLCOMMENT'权限名',`info`VARCHAR(30)DEFAULTNULLCOMMENT'权限信息',`desc`VARCHAR(50)DEFAULTNULLCOMMENT'描述',PRIMARYKEY(`id`))ENGINE=INNODBAUTO_INCREMENT=2DEFAULTCHARSET=utf8 COMMENT='权限表';CREATETABLE`role_ps`(`id`BIGINT(20)NOTNULLAUTO_INCREMENTCOMMENT'编号',`rid`BIGINT(20)DEFAULTNULLCOMMENT'角色 id',`pid`BIGINT(20)DEFAULTNULLCOMMENT'权限 id',PRIMARYKEY(`id`))ENGINE=INNODBAUTO_INCREMENT=2DEFAULTCHARSET=utf8 COMMENT='角色权限映射表';
- mapper
@Select({"<script>","select info FROM permissions WHERE id IN ","(SELECT pid FROM role_ps WHERE rid IN (","SELECT id FROM role WHERE NAME IN ","<foreach collection='roles' item='name' open='(' separator=',' close=')'>","#{name}","</foreach>","))","</script>"})List<String>getUserPermissionInfoMapper(@Param("roles")List<String> roles);
- service
@OverridepublicList<String>getUserPermissionInfo(List<String> roles){return userMapper.getUserPermissionInfoMapper(roles);}
- MyRealm
//自定义授权方法:获取当前登录用户权限信息,返回给 Shiro 用来进行授权对比@OverrideprotectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollection principalCollection){System.out.println("进入自定义授权方法");//获取当前用户身份信息String principal = principalCollection.getPrimaryPrincipal().toString();//调用接口方法获取用户的角色信息List<String> roles = userService.getUserRoleInfo(principal);System.out.println("当前用户角色信息:"+roles);//调用接口方法获取用户角色的权限信息List<String> permissions = userService.getUserPermissionInfo(roles);System.out.println("当前用户权限信息:"+permissions);//创建对象,存储当前登录的用户的权限和角色SimpleAuthorizationInfo info =newSimpleAuthorizationInfo();//存储角色info.addRoles(roles);//存储权限信息info.addStringPermissions(permissions);//返回 return info;}
- controller
//登录认证验证权限@RequiresPermissions("user:delete")@GetMapping("userPermissions")@ResponseBodypublicStringuserLoginPermissions(){System.out.println("登录认证验证权限");return"验证权限成功";}
- main.html
<body><h1>Shiro 登录认证后主页面</h1><br>登录用户为:<spanth:text="${session.user}"></span><br><ahref="/logout">登出</a><br><ahref="/myController/userLoginRoles">测试授权-角色验证</a><br><ahref="/myController/userPermissions">测试授权-权限验证</a></body>
前端页面授权验证
添加依赖
<dependency><groupId>com.github.theborakompanioni</groupId><artifactId>thymeleaf-extras-shiro</artifactId><version>2.0.0</version></dependency>
配置类
用于解析 thymeleaf 中的 shiro:相关属性
@BeanpublicShiroDialectshiroDialect(){returnnewShiroDialect();}
Thymeleaf 中常用的 shiro:属性
- guest 标签
<shiro:guest></shiro:guest>
用户没有身份验证时显示相应信息,即游客访问信息。 - user 标签
<shiro:user></shiro:user>
用户已经身份验证/记住我登录后显示相应的信息。 - authenticated 标签
<shiro:authenticated></shiro:authenticated>
用户已经身份验证通过,即 Subject.login 登录成功,不是记住我登录的。 - notAuthenticated 标签
<shiro:notAuthenticated></shiro:notAuthenticated>
用户已经身份验证通过,即没有调用 Subject.login 进行登录,包括记住我自动登录的 也属于未进行身份验证。 - principal 标签
<shiro:principal/><shiro:principalproperty="username"/>
相当于((User)Subject.getPrincipals()).getUsername()。 - lacksPermission 标签
<shiro:lacksPermissionname="org:create"></shiro:lacksPermission>
如果当前 Subject 没有权限将显示 body 体内容。 - hasRole 标签
<shiro:hasRolename="admin"></shiro:hasRole>
如果当前 Subject 有角色将显示 body 体内容。 - hasAnyRoles 标签
<shiro:hasAnyRolesname="admin,user"></shiro:hasAnyRoles>
如果当前 Subject 有任意一个角色(或的关系)将显示 body 体内容。 - lacksRole 标签
<shiro:lacksRolename="abc"></shiro:lacksRole>
如果当前 Subject 没有角色将显示 body 体内容。 - hasPermission 标签
<shiro:hasPermissionname="user:create"></shiro:hasPermission>
如果当前 Subject 有权限将显示 body 体内容
版权归原作者 涉洧 所有, 如有侵权,请联系我们删除。