Shiro是一个强大的简单易用的Java安全框架,主要用来更便捷的认证,授权,加密,会话管理。Shiro首要的和最重要的目标就是容易使用并且容易理解。
Shiro是一个有许多特性的全面的安全框架,下面这幅图可以了解Shiro的特性:
过滤器简称 | 对应的 Java 类 |
---|---|
anon | org.apache.shiro.web.filter.authc.AnonymousFilter |
authc | org.apache.shiro.web.filter.authc.FormAuthenticationFilter |
authcBasic | org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter |
perms | org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter |
port | org.apache.shiro.web.filter.authz.PortFilter |
rest | org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter |
roles | org.apache.shiro.web.filter.authz.RolesAuthorizationFilter |
ssl |org.apache.shiro.web.filter.authz.SslFilter
user |org.apache.shiro.web.filter.authc.UserFilter
复制代码
logout |org.apache.shiro.web.filter.authc.LogoutFilter noSessionCreation |org.apache.shiro.web.filter.session.NoSessionCreationFilter
/admins/**=auth # 表示该 uri 需要认证才能访问
/admins/**=authcBasic # 表示该 uri 需要 httpBasic 认证
/admins/**=perms[user:add:*] # 表示该 uri 需要认证用户拥有 user:add:* 权限才能访问
/admins/**=port[8081] # 表示该 uri 需要使用 8081 端口
/admins/**=rest[user] # 相当于 /admins/**=perms[user:method],其中,method 表示 get、post、delete 等
/admins/**=roles[admin] # 表示该 uri 需要认证用户拥有 admin 角色才能访问
/admins/**=ssl # 表示该 uri 需要使用 https 协议
/admins/**=user # 表示该 uri 需要认证或通过记住我认证才能访问
/logout=logout # 表示注销,可以当作固定配置
注意:
anon,authcBasic,auchc,user 是认证过滤器。
perms,roles,ssl,rest,port 是授权过滤器。
复制代码
创一个建Shiro项目 pom.xml中添加如下依赖:
<dependencies>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-simple</artifactId>
<version>1.6.1</version>
</dependency>
</dependencies>
复制代码
在 src/main/resources 目录下创建名为 shiro.ini 的配置文件,内容如下
[users] # admin=admin 分别表示账号和密码,administrator 表示逗号前边的账号拥有 administrator 这个角色。 admin=admin,administrator zhangsan=zhangsan,manager lisi=lisi,guest [roles] # administrator 表示角色名称,* 表示这个角色拥有所有权限 administrator=* manager=user:*,department:* guest=user:query,department:query 复制代码
public class ShiroTest { @Test public void test() { // 读取 shiro.ini 文件内容 Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini"); SecurityManager securityManager = factory.getInstance(); SecurityUtils.setSecurityManager(securityManager); Subject currentUser = SecurityUtils.getSubject(); Session session = currentUser.getSession(); session.setAttribute("someKey", "aValue"); String value = (String) session.getAttribute("someKey"); if (value.equals("aValue")) { System.out.println("someKey 的值:" + value); } // 登陆 UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "zhangsan"); token.setRememberMe(true); try { currentUser.login(token); } catch (UnknownAccountException uae) { System.out.println("用户名不存在:" + token.getPrincipal()); } catch (IncorrectCredentialsException ice) { System.out.println("账户密码 " + token.getPrincipal() + " 不正确!"); } catch (LockedAccountException lae) { System.out.println("用户名 " + token.getPrincipal() + " 被锁定 !"); } // 认证成功后 if (currentUser.isAuthenticated()) { System.out.println("用户 " + currentUser.getPrincipal() + " 登陆成功!"); //测试角色 System.out.println("是否拥有 manager 角色:" + currentUser.hasRole("manager")); //测试权限 System.out.println("是否拥有 user:create 权限" + currentUser.isPermitted("user:create")); //退出 currentUser.logout(); } } } 复制代码
在使用 Shiro 的注解之前,请确保项目中已经添加支持 AOP 功能的相关 jar 包。常用注解如下:
@RequiresRoles( "manager" ) # 角色校验 public String save() { //TODO } @RequiresPermissions("user:manage") # 权限检验 public String delete() { //TODO } 复制代码
上边的程序使用的是 Shiro 自带的 IniRealm,而 IniRealm 从 ini 配置文件中读取用户的信息,大部分情况下需要从系统的数据库中读取用户信息,所以需要自定义 realm。
public class CustomRealm extends AuthorizingRealm { /** * 认证 */ @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { // 从 token 中获取用户身份信息 String username = (String) token.getPrincipal(); // 通过 username 从数据库中查询 // 如果查询不到则返回 null if(!username.equals("zhangsan")){//这里模拟查询不到 return null; } //获取从数据库查询出来的用户密码 String dbPassword = "zhangsan";//这里使用静态数据模拟 //返回认证信息由父类 AuthenticatingRealm 进行认证 SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username, dbPassword, getName()); return simpleAuthenticationInfo; } /** * 授权 */ @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { // 获取身份信息 String username = (String) principals.getPrimaryPrincipal(); // 根据身份信息从数据库中查询权限数据 // 这里使用静态数据模拟 List<String> permissions = new ArrayList<String>(); permissions.add("user:*"); permissions.add("department:*"); // 将权限信息封闭为AuthorizationInfo SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo(); // 模拟数据,添加 manager 角色 simpleAuthorizationInfo.addRole("manager"); for(String permission:permissions){ simpleAuthorizationInfo.addStringPermission(permission); } return simpleAuthorizationInfo; } } 复制代码
在 src/main/resources 目录下创建 shiro-realm.ini 文件,内容如下:
[main] #自定义 realm customRealm=com.light.shiroTest.realm.CustomRealm #将realm设置到securityManager securityManager.realms=$customRealm 复制代码
添加依赖
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.4.0</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.4.0</version>
</dependency>
复制代码
web.xml :
<filter> <filter-name>shiroFilter</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> <init-param> <param-name>targetFilterLifecycle</param-name> <param-value>true</param-value> </init-param> </filter> <filter-mapping> <filter-name>shiroFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> 复制代码
application-shiro.xml:
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"> <!-- 必须设置 --> <property name="securityManager" ref="securityManager"/> <!-- 3 个 url 属性为可选设置 --> <property name="loginUrl" value="/login.jsp"/> <property name="successUrl" value="/home.jsp"/> <property name="unauthorizedUrl" value="/unauthorized.jsp"/> <property name="filterChainDefinitions"> <value> <!-- 对静态资源设置匿名访问 --> /resources/** = anon /login = anon <!-- /** = authc 所有url都必须认证通过才可以访问--> /** = authc </value> </property> </bean> <!-- 安全管理器 --> <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"> <property name="realm" ref="customRealm" /> </bean> <!-- 自定义 realm --> <bean id="customRealm" class="com.light.ac.web.realm.CustomRealm"></bean> <!-- 保证实现了Shiro内部lifecycle函数的bean执行 --> <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" /> 复制代码
其中,application-shiro.xml 中的 shiroFilter 名字和 web.xml 文件中的 shiroFilter是对应的,必须一致。 anon 和 authc 对应上文提到的过滤器。
CustomRealm 类:
public class CustomRealm extends AuthorizingRealm { @Autowired private UserService userService; @Autowired private PermissionService permissionService; /** * 认证 */ @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { // 获取用户名 String userName = (String) token.getPrincipal(); // 通过用户名获取用户对象 User user = this.userService.findUserByUserName(userName); if (user == null) { return null; } // 通过 userId 获取该用户拥有的所有权限,返回值根据自己需求编写,并非固定值。 Map<String,List<Permission>> permissionMap = this.permissionService.getPermissionMapByUserId(user.getId()); // (目录+菜单,分层级,用于前端 jsp 遍历) user.setMenuList(permissionMap.get("menuList")); // (目录+菜单+按钮,用于后端权限判断) user.setPermissionList(permissionMap.get("permissionList")); SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName()); return info; } /** * 授权 */ @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { User user = (User) principals.getPrimaryPrincipal(); SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(); // (目录+菜单+按钮,用于后端权限判断) List<Permission> permissionList = user.getPermissionList(); for (Permission permission : permissionList) { if (StringUtil.isNotEmpty(permission.getCode())) { info.addStringPermission(permission.getCode()); } } return info; } } 复制代码