转载

Shiro入门教程

Shiro是一个强大的简单易用的Java安全框架,主要用来更便捷的认证,授权,加密,会话管理。Shiro首要的和最重要的目标就是容易使用并且容易理解。

Shiro的特性

Shiro是一个有许多特性的全面的安全框架,下面这幅图可以了解Shiro的特性:

Shiro入门教程
  1. Authentication:身份认证/登录,验证用户是不是拥有相应的身份。
  2. Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限。
  3. Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通 JavaSE 环境的,也可以是如 Web 环境的。
  4. Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储。
  5. Web Support:Web支持,可以非常容易的集成到 web 环境。
  6. Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可以提高效率。
  7. Concurrency:shiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去。
  8. Testing:提供测试支持。
  9. Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问。
  10. Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了。 2.2 运行原理
Shiro入门教程
  1. Subject:主体,代表了当前“用户”。这个用户不一定是一个具体的人,与当前应用交互的任何东西都是 Subject,如网络爬虫,机器人等。所有 Subject 都绑定到 SecurityManager,与 Subject 的所有交互都会委托给 SecurityManager。我们可以把 Subject 认为是一个门面,SecurityManager 才是实际的执行者。
  2. SecurityManager:安全管理器。即所有与安全有关的操作都会与 SecurityManager 交互,且它管理着所有 Subject。可以看出它是 Shiro 的核心,它负责与后边介绍的其他组件进行交互,如果学习过 SpringMVC,我们可以把它看成 DispatcherServlet 前端控制器。
  3. Realm:域。Shiro 从 Realm 获取安全数据(如用户、角色、权限),就是说 SecurityManager 要验证用户身份,那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法,也需要从 Realm 得到用户相应的角色/权限进行验证用户是否能进行操作。我们可以把 Realm 看成 DataSource,即安全数据源。

Shiro 运行原理图及内部架构如图下:

Shiro入门教程
  1. Subject:主体,可以看到主体可以是任何与应用交互的“用户”。
  2. SecurityManager:相当于 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher。它是 Shiro 的核心,所有具体的交互都通过 SecurityManager 进行控制。它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。
  3. Authenticator:认证器,负责主体认证的,这是一个扩展点,如果用户觉得 Shiro 默认的不好,我们可以自定义实现。其需要认证策略(Authentication Strategy),即什么情况下算用户认证通过了。
  4. Authrizer:授权器,或者访问控制器。它用来决定主体是否有权限进行相应的操作,即控制着用户能访问应用中的哪些功能。
  5. Realm:可以有1个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的。它可以是 JDBC 实现,也可以是 LDAP 实现,或者内存实现等。
  6. SessionManager:如果写过 Servlet 就应该知道 Session 的概念,Session 需要有人去管理它的生命周期,这个组件就是 SessionManager。而 Shiro 并不仅仅可以用在 Web 环境,也可以用在如普通的 JavaSE 环境。
  7. SessionDAO:DAO 大家都用过,数据访问对象,用于会话的 CRUD。我们可以自定义 SessionDAO 的实现,控制 session 存储的位置。如通过 JDBC 写到数据库或通过 jedis 写入 redis 中。另外 SessionDAO 中可以使用 Cache 进行缓存,以提高性能。
  8. CacheManager:缓存管理器。它来管理如用户、角色、权限等的缓存的。因为这些数据基本上很少去改变,放到缓存中后可以提高访问的性能。
  9. Cryptography:密码模块,Shiro 提高了一些常见的加密组件用于如密码加密/解密的。

过滤器

过滤器简称 对应的 Java 类
anon org.apache.shiro.web.filter.authc.AnonymousFilter
authc org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port org.apache.shiro.web.filter.authz.PortFilter
rest org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl 	|org.apache.shiro.web.filter.authz.SslFilter
user 	|org.apache.shiro.web.filter.authc.UserFilter
复制代码

logout |org.apache.shiro.web.filter.authc.LogoutFilter noSessionCreation |org.apache.shiro.web.filter.session.NoSessionCreationFilter

/admins/**=auth               # 表示该 uri 需要认证才能访问
  /admins/**=authcBasic         # 表示该 uri 需要 httpBasic 认证
  /admins/**=perms[user:add:*]  # 表示该 uri 需要认证用户拥有 user:add:* 权限才能访问
  /admins/**=port[8081]         # 表示该 uri 需要使用 8081 端口
  /admins/**=rest[user]         # 相当于 /admins/**=perms[user:method],其中,method 表示  get、post、delete 等
  /admins/**=roles[admin]       # 表示该 uri 需要认证用户拥有 admin 角色才能访问
  /admins/**=ssl                # 表示该 uri 需要使用 https 协议
  /admins/**=user               # 表示该 uri 需要认证或通过记住我认证才能访问
  /logout=logout                # 表示注销,可以当作固定配置
注意:
anon,authcBasic,auchc,user 是认证过滤器。
perms,roles,ssl,rest,port 是授权过滤器。

复制代码

创一个建Shiro项目 pom.xml中添加如下依赖:

<dependencies>
     <dependency> 
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId> 
        <version>1.2.3</version> 
    </dependency>
   <dependency>
      <groupId>org.slf4j</groupId> 
      <artifactId>slf4j-simple</artifactId>
      <version>1.6.1</version> 
  </dependency> 
</dependencies>

复制代码

配置文件

在 src/main/resources 目录下创建名为 shiro.ini 的配置文件,内容如下

[users]
    # admin=admin 分别表示账号和密码,administrator 表示逗号前边的账号拥有 administrator 这个角色。
    admin=admin,administrator
    zhangsan=zhangsan,manager
    lisi=lisi,guest

    [roles]
    # administrator 表示角色名称,* 表示这个角色拥有所有权限
    administrator=*
    manager=user:*,department:*
    guest=user:query,department:query
复制代码

测试类

public class ShiroTest {

        @Test
        public void test() {

            // 读取 shiro.ini 文件内容
            Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
            SecurityManager securityManager = factory.getInstance();
            SecurityUtils.setSecurityManager(securityManager);

            Subject currentUser = SecurityUtils.getSubject();

            Session session = currentUser.getSession();
            session.setAttribute("someKey", "aValue");
            String value = (String) session.getAttribute("someKey");
            if (value.equals("aValue")) {
                System.out.println("someKey 的值:" + value);
            }

            // 登陆
            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "zhangsan");
            token.setRememberMe(true);
            try {
                currentUser.login(token);
            } catch (UnknownAccountException uae) {
                System.out.println("用户名不存在:" + token.getPrincipal());
            } catch (IncorrectCredentialsException ice) {
                System.out.println("账户密码 " + token.getPrincipal()  + " 不正确!");
            } catch (LockedAccountException lae) {
                System.out.println("用户名 " + token.getPrincipal() + " 被锁定 !");
            }
            
            // 认证成功后
            if (currentUser.isAuthenticated()) {
                
                System.out.println("用户 " + currentUser.getPrincipal() + " 登陆成功!");
                
                //测试角色
                System.out.println("是否拥有 manager 角色:" + currentUser.hasRole("manager"));
                
                //测试权限
                System.out.println("是否拥有 user:create 权限" + currentUser.isPermitted("user:create"));
                
                //退出
                currentUser.logout();
            }

        }
    }

复制代码

使用注解进行用户进行授权校验

在使用 Shiro 的注解之前,请确保项目中已经添加支持 AOP 功能的相关 jar 包。常用注解如下:

@RequiresRoles( "manager" )      # 角色校验
    public String save() {
        //TODO
    }
    @RequiresPermissions("user:manage")  # 权限检验
    public String delete() {
          //TODO
    }

复制代码

自定义 Realm

上边的程序使用的是 Shiro 自带的 IniRealm,而 IniRealm 从 ini 配置文件中读取用户的信息,大部分情况下需要从系统的数据库中读取用户信息,所以需要自定义 realm。

public class CustomRealm extends AuthorizingRealm {

        /**
         * 认证
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 从 token 中获取用户身份信息
            String username = (String) token.getPrincipal();
            // 通过 username 从数据库中查询
        
            // 如果查询不到则返回 null
            if(!username.equals("zhangsan")){//这里模拟查询不到
                return null;
            }
            
            //获取从数据库查询出来的用户密码 
            String dbPassword = "zhangsan";//这里使用静态数据模拟
            
            //返回认证信息由父类 AuthenticatingRealm 进行认证
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username, dbPassword, getName());

            return simpleAuthenticationInfo;
        }
        
        /**
         * 授权
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            // 获取身份信息
            String username = (String) principals.getPrimaryPrincipal();
            // 根据身份信息从数据库中查询权限数据
            // 这里使用静态数据模拟
            List<String> permissions = new ArrayList<String>();
            permissions.add("user:*");
            permissions.add("department:*");
            
            // 将权限信息封闭为AuthorizationInfo
            SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
            // 模拟数据,添加 manager 角色
            simpleAuthorizationInfo.addRole("manager");
            
            for(String permission:permissions){
                simpleAuthorizationInfo.addStringPermission(permission);
            }
            
            return simpleAuthorizationInfo;
        }

    }

复制代码

在 src/main/resources 目录下创建 shiro-realm.ini 文件,内容如下:

[main]
    #自定义 realm
    customRealm=com.light.shiroTest.realm.CustomRealm
    #将realm设置到securityManager
    securityManager.realms=$customRealm

复制代码

与 Spring 整合

添加依赖

<dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.4.0</version>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.4.0</version>
    </dependency>

复制代码

配置文件

web.xml :

<filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>

    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

复制代码

application-shiro.xml:

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 必须设置 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 3 个 url 属性为可选设置 -->
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/home.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        <property name="filterChainDefinitions">
            <value>
                <!-- 对静态资源设置匿名访问 -->
                /resources/** = anon
                /login = anon
                <!-- /** = authc 所有url都必须认证通过才可以访问-->
                /** = authc
            </value>
        </property>
    </bean>

    <!-- 安全管理器 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="customRealm" />
    </bean>

    <!-- 自定义 realm -->
    <bean id="customRealm" class="com.light.ac.web.realm.CustomRealm"></bean>

    <!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

复制代码

其中,application-shiro.xml 中的 shiroFilter 名字和 web.xml 文件中的 shiroFilter是对应的,必须一致。 anon 和 authc 对应上文提到的过滤器。

CustomRealm 类:

public class CustomRealm extends AuthorizingRealm {

        @Autowired
        private UserService userService;
        
        @Autowired
        private PermissionService permissionService;
        
        /**
         * 认证
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 获取用户名
            String userName = (String) token.getPrincipal();
            // 通过用户名获取用户对象
            User user = this.userService.findUserByUserName(userName);
            
            if (user == null) {
                return null;
            }
            
            // 通过 userId 获取该用户拥有的所有权限,返回值根据自己需求编写,并非固定值。
            Map<String,List<Permission>> permissionMap = this.permissionService.getPermissionMapByUserId(user.getId());
            
            // (目录+菜单,分层级,用于前端 jsp 遍历)
            user.setMenuList(permissionMap.get("menuList"));
            // (目录+菜单+按钮,用于后端权限判断)
            user.setPermissionList(permissionMap.get("permissionList"));
            
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
            
            return info;
        }
        
        /**
         * 授权
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            User user = (User) principals.getPrimaryPrincipal();
            
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            
            // (目录+菜单+按钮,用于后端权限判断)
            List<Permission> permissionList = user.getPermissionList();
            
            for (Permission permission : permissionList) {
                if (StringUtil.isNotEmpty(permission.getCode())) {
                    info.addStringPermission(permission.getCode());
                }
            }
            
            return info;
        }
    }



复制代码
原文  https://juejin.im/post/5d8882c8f265da03d9257698
正文到此结束
Loading...