项目简介
springboot中使用shiro大都是通过shiro-spring.jar进行的整合的,虽然不是太复杂，但是也无法做到spring-boot-starter风格的开箱即用。
项目中经常用到的功能比如：验证码、密码错误次数限制、账号唯一用户登陆、动态URL过滤规则、无状态鉴权等等，shiro还没有直接提供支持。
jsets-shiro-spring-boot-starter对这些常用的功能进行了封装和自动导入，少量的配置就可以应用在项目中。
1、项目地址：jsets-shiro-spring-boot-starter
2、使用说明：使用说明
3、示例应用：jsets-shiro-demo
如果您对这个组件感兴趣请star收藏，在使用这个组件中有任何问题或意见都可以在这里交流，欢迎提交代码。
已完成功能
1、spring-boot-starter风格的开箱即用。
2、区分ajax请求和普通请求，普通请求通过跳转来响应未登陆和未授权，AJAX请求通过状态码和消息响应未登陆和未授权。
3、集成jcaptcha验证码。
4、密码输入错误，重试次数限制。
5、账号唯一用户登陆，一个账号只允许一个用户登陆。
6、redis缓存(单机、分布式)支持，认证\授权数据缓存同步。
7、动态URL过滤规则。
8、无状态认证授权支持，共存有状态和无状态两种鉴权方式，无状态鉴权支持JWT(JSON WEB TOKEN)、HMAC(哈希消息认证码)两种协议。
9、在线session管理，强制用户下线功能。
后续计划功能
1、cas单点登陆集成
2、oauth2.0支持
快速体验
1、pom.xml中添加：
<dependency>
<groupId>org.jsetsgroupId>
<artifactId>jsets-shiro-spring-boot-starterartifactId>
<version>0.0.1version>
dependency>
2、application.properties添加下面配置：
###jsets-shiro配置
#登陆页面
jsets.shiro.login-url=/login
#登陆成功页面
jsets.shiro.login-success-url=/index
#忽略拦截的URL,静态资源
jsets.shiro.filte-rules[0]=/assets/**-->anon
#登陆
jsets.shiro.filte-rules[1]=/login/**-->authc
#退出
jsets.shiro.filte-rules[2]=/logout/**-->logout
#所有路径，断言session中存在用户
jsets.shiro.filte-rules[3]=/**-->user
3、创建Controller类IndexAction.java：
@Controller
public class IndexAction {
@RequestMapping("/")
public String def() {
return "index";
}
@RequestMapping("/index")
public String index() {
return "index";
}
@RequestMapping("/login")
public String login() {
return "login";
}
}
4、创建登陆页面login.html：
5、创建主页index.html：
<div class="body">
欢迎您：${Session.shiro_current_user.account!}
<br>
退出：<a href="${ctx}/logout">退了a>
div>
6、启用jsets-shiro-spring-boot-starter：
@SpringBootApplication
@EnableJsetsShiro
public class Application{
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
启动springboot应用，控制台会打印出组件预置的体验账号和密码：
使用这个账号和密码就可以登陆系统了。
鉴权要素
鉴：认证（Authentication）即证明您是账号表示的那个人，基于form的认证中使用口令(密码)，rest api认证中使用令牌(token)。
权：权限验证（Authorization）即根据一个判断规则来验证您是否能执行一个操作。
认证的过程需要账号数据，这个数据至少包含三个元素：账号(用户名)、密码、账号是否可用。
jsets-shiro-spring-boot-starter中使用Account接口表示账号数据、使用ShiroAccountProvider接口为鉴权操作提供Account数据，数据来源不限比如可以从数据库、文件、LDAP、远程服务等各种方式加载。
权限验证的过程需要权限数据和规则数据，权限泛指能否操作资源，角色是权限的集合，如果使用权限来表示一个用户能操作的资源显然不方便，所以大部分系统的安全模型都是基于RBAC(Role-Based Access Control 基于角色的权限访问控制)的。jsets-shiro-spring-boot-starter同样使用ShiroAccountProvider接口为鉴权操作提供权限(角色)数据，数据来源不限。
具体参见"使用说明--接入用户数据"一章。
规则数据，如果没有规则就不存在判断，权限验证也就无从谈起，在shiro中规则表示成这样：
article/update=roles[role_editor]
article/delete=roles[role_chief]
article/publish=roles[role_chief]
"article/update"就是操作的资源，"roles[role_editor]"是判断标准，表示用户的角色列表中包含"role_editor"角色，操作加上判断标准就是规则。jsets-shiro-spring-boot-starter中您可以在application.properties中配置这样的规则。也可以通过shiro的AOP方式配置规则，类似于这样：
@RequiresRoles("role_editor")
public void update(Article article){
}
这两种方式是有局限的，比如角色-资源的对应关系发生变更，比如新增了一种角色，那就只能修改配置或者代码然后重启动系统才能使得这些变更生效。实际开发中则更希望通数据库查询出角色-资源的对应数据，动态生成URL规则，当角色-资源的对应关系发生变更时能刷新并立即用户这些规则。
您可以通过ShiroFilteRulesProvider接口为鉴权操作提供规则数据，并且支持实时刷新应用这些规则。
具体参见"使用说明--动态URL过滤"一章。
无状态鉴权
无状态(Stateless)鉴权通常应用在微服务(REST API)架构中，使用数字摘要(签名)技术生成一个token作为认证和授权的凭证，整个认证和授权过程不依赖于cookie或session，服务端不保留客户端状态因此每次请求都要携带这个token。
jsets-shiro-spring-boot-starter提供两种无状态鉴权方式，分别是散列消息认证码(HMAC)、JSON WEB TOKEN(JWT)。
HMAC适合端到端的鉴权，即客户端拿着签名让服务端进行验签。
JWT适合客户端询问系统B是否有权访问系统C和系统N如果有请开份凭证，然后拿着凭证让系统C和系统N进行验签。
JWT是自包含的，令牌中携带访问主张(角色或权限)，所以JWT鉴权不需要查询数据。HMAC鉴权则需要查询数据库获取角色或权限数据。HMAC和JWT鉴权过程均不产生session。
如果您的系统即有状态鉴权(即基于FORM的登陆认证)又有无状态鉴权(即提供rest接口)，毕竟不是所有的系统都做了服务化拆分的，默认情况下HMAC也是使用ShiroAccountProvider接口为鉴权操作提供身份认证和权限验证数据，和有状态鉴权公用一套数据。如您想拆分它们，即HMAC使用自己的鉴权数据，可以使用ShiroStatelessAccountProvider为无状态鉴权提供数据。
具体参见"使用说明--无状态鉴权"一章。
组件扩展
JsetsShiroConfigurationAdapter是shiro配置的适配器，通过它您可以定制Realm、filter、SessionDAO、CacheManager等。
示例展示
jsets-shiro-demo是jsets-shiro-spring-boot-starter是应用示例，做的不是很精细，主要为了演示功能实现。
主界面：
验证码：
用户被踢出：
密码输入错误重试次数限制：
角色列表：
权限拦截：
资源分配：
权限验证通过：
HMAC验签通过：
HMAC签名失效：
HMAC签名无效:
JWT权限验证失败:
JWT需要身份认证：
在线用户列表：
强制用户下线：
更多功能和特性请参见jsets-shiro-spring-boot-starter源码和使用说明。