37000 字 + 代码，艿艿肝的 Shiro 从入门到实战，直接收藏吃灰！
点击上方“芋道源码”，选择“设为星标”
管她前浪，还是后浪？
能浪的浪，才是好浪！
每天 8:55 更新文章，每天掉亿点点头发...
源码精品专栏
原创 | Java 2020 超神之路，很肝~
中文详细注释的开源项目
RPC 框架 Dubbo 源码解析
网络应用框架 Netty 源码解析
消息中间件 RocketMQ 源码解析
数据库中间件 Sharding-JDBC 和 MyCAT 源码解析
作业调度中间件 Elastic-Job 源码解析
分布式事务中间件 TCC-Transaction 源码解析
Eureka 和 Hystrix 源码解析
Java 并发源码
大家好，我是艿艿，一个让你秃头的小胖子。。。
最近状态有点小好，抠脚一算， https://github.com/YunaiV/SpringBoot-Labs 仓库的 Spring Boot、Spring Cloud、Dubbo 的示例代码，竟然要破 60000 行了 = = 默默撸了 2 年了要~
“摘要: 原创出处 http://www.iocoder.cn/Spring-Boot/Shiro/ 「芋道源码」欢迎转载，保留摘要，谢谢！
1. 概述
2. 快速入门
3. Shiro 注解
4. 项目实战
666. 彩蛋
“本文在提供完整代码示例，可见 https://github.com/YunaiV/SpringBoot-Labs 的 lab-33 目录。
原创不易，给点个 Star 嘿，一起冲鸭！
1. 概述
“艿艿：本文是《芋道 Spring Boot 安全框架 Spring Security 入门》 的姊妹篇，所以开头就“重复”再来一遍，嘿嘿。
基本上，在所有的开发的系统中，都必须做认证(authentication)和授权(authorization)，以保证系统的安全性。???? 考虑到很多胖友对认证和授权有点分不清楚，艿艿这里引用一个网上有趣的例子：
“FROM 《认证 (authentication) 和授权 (authorization) 的区别》
authentication [ɔ,θɛntɪ'keʃən] 认证
authorization [,ɔθərɪ'zeʃən] 授权
以打飞机举例子：
【认证】你要登机，你需要出示你的 passport 和 ticket，passport 是为了证明你张三确实是你张三，这就是 authentication。
【授权】而机票是为了证明你张三确实买了票可以上飞机，这就是 authorization。
以论坛举例子：
【认证】你要登陆论坛，输入用户名张三，密码 1234，密码正确，证明你张三确实是张三，这就是 authentication。
【授权】再一 check 用户张三是个版主，所以有权限加精删别人帖，这就是 authorization 。
所以简单来说：认证解决“你是谁”的问题，授权解决“你能做什么”的问题。另外，在推荐阅读下《认证、授权、鉴权和权限控制》 文章，更加详细明确。
在 Java 生态中，目前有 Spring Security 和 Apache Shiro 两个安全框架，可以完成认证和授权的功能。本文，我们再来学习下 Apache Shiro 。其官方对自己介绍如下：
“FROM 《Apache Shiro 官网》
Apache Shiro™ is a powerful and easy-to-use Java security framework that performs authentication, authorization, cryptography, and session management.
Apache Shiro™ 是一个功能强大且易于使用的 Java 安全框架，它可以提供身份验证、授权、加密和会话管理的功能。With Shiro’s easy-to-understand API, you can quickly and easily secure any application – from the smallest mobile applications to the largest web and enterprise applications.
通过 Shiro 易于理解的 API ，你可以快速、轻松地保护任何应用程序 —— 从最小的移动端应用程序到大型的的 Web 和企业级应用程序。
更多关于 Shiro 的介绍，胖友可以自行阅读《Apache Shiro 1.2.x 参考手册》 ，虽然目前 Shiro 截止到目前已经发布到 1.4.2 版本，但是该手册依然很有参考价值。
2. 快速入门
“示例代码对应仓库：lab-33-shiro-demo 。
在本小节中，我们来对 Shiro 进行快速的入门，实现一个最小化的使用示例。
2.1 引入依赖
在 pom.xml 文件中，引入相关依赖。
org.springframework.boot
spring-boot-starter-parent
2.1.10.RELEASE
4.0.0
lab-33-shiro-demo
org.springframework.boot
spring-boot-starter-web
org.apache.shiro
shiro-spring-boot-starter
1.4.2
具体每个依赖的作用，胖友自己认真看下艿艿添加的所有注释噢。
不过实际上，shiro-spring-boot-starter 依赖对 Shiro 的自动化配置基本没啥用，需要自己来主动实现对 Shiro 的配置。
2.2 ShiroConfig
在 cn.iocoder.springboot.lab01.shirodemo.config 包下，创建 ShiroConfig 抽象类，实现 Shiro 的自定义配置。代码如下：
// ShiroConfig.java
@Configuration
public class ShiroConfig {
@Bean
public Realm realm() { /**省略代码**/ }
@Bean
public DefaultWebSecurityManager securityManager() { /**省略代码**/ }
@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean() { /**省略代码**/ }
}
一共有三个 Bean 的配置，我们逐个来看看。
2.2.1 Realm
我们先来看看 Realm 的定义。
“《Apache Shiro 1.2.x 参考手册 —— Realms》
Realm 是可以访问程序特定的安全数据如用户、角色、权限等的一个组件。Realm 会将这些程序特定的安全数据转换成一种 Shiro 可以理解的形式，Shiro 就可以依次提供容易理解的 Subject 程序API而不管有多少数据源或者程序中你的数据如何组织。
Realm 通常和数据源是一对一的对应关系，如关系数据库，LDAP 目录，文件系统，或其他类似资源。因此，Realm 接口的实现使用数据源特定的API 来展示授权数据（角色，权限等），如JDBC，文件IO，Hibernate 或JPA，或其他数据访问API。
Realm 实质上就是一个特定安全的 DAO
因为这些数据源大多通常存储身份验证数据（如密码的凭证）以及授权数据（如角色或权限），每个 Shiro Realm 能够执行身份验证和授权操作。
???? 好长一段描述，抓重点，最后一句的“身份验证”（认证）和“授权”，这个就是 Realm 的职责。
Realm 整体的类图如下：
Realm 接口，主要定义了**“认证”**方法。代码如下：
// Realm.java AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException;AuthorizingRealm 抽象类，主要额外定义了授权方法。代码如下：
// AuthorizingRealm.java protected abstract AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals);AuthorizingRealm 同时实现了 Authorizer 接口，提供判断经过认证过的 Subject 是否具有指定的角色、权限的方法。
从图中我们可以看出，Shiro 提供了多种 AuthorizingRealm 的实现类，提供从不同的数据源获取数据。不过一般在项目中，我们会自定义实现 AuthorizingRealm ，从自己定义的表结构中读取用户、角色、权限等数据。虽然说，Shiro 提供了 JdbcRealm 可以访问数据库，但是它的表结构是固定的，所说我们才要自定义定义实现 AuthorizingRealm 。
本示例中，在 #realm() 方法，我们创建了 SimpleAccountRealm Bean 对象。代码如下：
// ShiroConfig.java
@Bean
public Realm realm() {
// 创建 SimpleAccountRealm 对象
SimpleAccountRealm realm = new SimpleAccountRealm();
// 添加两个用户。参数分别是 username、password、roles 。
realm.addAccount("admin", "admin", "ADMIN");
realm.addAccount("normal", "normal", "NORMAL");
return realm;
}
SimpleAccountRealm 是使用内存作为数据源，我们可以手动往里面添加用户、角色、权限等数据。???? 毕竟作为一个示例，艿艿不想引入数据库，增加复杂性。不过我们在「3. 项目实战」中，我们会看到我们使用自定义的 AuthorizingRealm 实现类。
在该方法里，我们添加了「admin/admin」和「normal/normal」两个用户，分别对应 ADMIN 和 NORMAL 角色。
2.2.2 SecurityManager
我们再来看看 SecurityManager 的定义。
“《Apache Shiro 1.2.x 参考手册 —— Session Management》
SecurityManager 是 Shiro 架构的核心，配合内部安全组件共同组成安全伞。
本示例中，在 #securityManager() 方法，我们创建了 DefaultWebSecurityManager Bean 对象。代码如下：
// ShiroConfig.java
@Bean
public DefaultWebSecurityManager securityManager() {
// 创建 DefaultWebSecurityManager 对象
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
// 设置其使用的 Realm
securityManager.setRealm(this.realm());
return securityManager;
}
不用特别去纠结 SecurityManager ，创建好 DefaultWebSecurityManager Bean 就完事了~等后续我们入门完 Shiro 之后，胖友可以在慢慢细细去研究。
2.2.3 ShiroFilter
通过 AbstractShiroFilter 过滤器，实现对请求的拦截，从而实现 Shiro 的功能。AbstractShiroFilter 整体的类图如下：
本示例中，在 #shiroFilterFactoryBean() 方法，我们创建了 ShiroFilterFactoryBean Bean 对象。代码如下：
// ShiroConfig.java
@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean() {
// <1> 创建 ShiroFilterFactoryBean 对象，用于创建 ShiroFilter 过滤器
ShiroFilterFactoryBean filterFactoryBean = new ShiroFilterFactoryBean();
// <2> 设置 SecurityManager
filterFactoryBean.setSecurityManager(this.securityManager());
// <3> 设置 URL 们
filterFactoryBean.setLoginUrl("/login"); // 登陆 URL
filterFactoryBean.setSuccessUrl("/login_success"); // 登陆成功 URL
filterFactoryBean.setUnauthorizedUrl("/unauthorized"); // 无权限 URL
// <4> 设置 URL 的权限配置
filterFactoryBean.setFilterChainDefinitionMap(this.filterChainDefinitionMap());
return filterFactoryBean;
}
<1>处，创建 ShiroFilterFactoryBean 对象，用于创建 SpringShiroFilter 过滤器。<2>处，设置其 SecurityManager 属性。<3>处，设置各种 URL 。#setLoginUrl(String loginUrl)方法，设置登陆 URL 。在 Shiro 中，约定GET loginUrl为登陆页面，POST loginUrl为登陆请求。#setSuccessUrl(String successUrl)方法，设置登陆成功 URL 。在登陆成功时，会重定向到该 URL 上。#etUnauthorizedUrl(String unauthorizedUrl)方法，设置无权限的 URL 。在请求校验权限不通过时，会重定向到该 URL 上。上述的 URL 对应的接口，都需要我们自己来实现。具体可见「2.3 SecurityController」小节。
<4>处，调用#setFilterChainDefinitionMap(Map方法，设置 URL 的权限配置。
在看 #filterChainDefinitionMap() 方法的具体 URL 的权限配置之前，我们先来了解下 Shiro 内置的过滤器们。在 Shiro DefaultFilter 枚举类中，枚举了这些过滤器，以及其配置名。整理表格如下：
| Filter Name | Class |
|---|---|
| anon | org.apache.shiro.web.filter.authc.AnonymousFilter |
| authc | org.apache.shiro.web.filter.authc.FormAuthenticationFilter |
| authcBasic | org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter |
| logout | org.apache.shiro.web.filter.authc.LogoutFilter |
| noSessionCreation | org.apache.shiro.web.filter.session.NoSessionCreationFilter |
| perms | org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter |
| port | org.apache.shiro.web.filter.authz.PortFilter |
| rest | org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter |
| roles | org.apache.shiro.web.filter.authz.RolesAuthorizationFilter |
| ssl | org.apache.shiro.web.filter.authz.SslFilter |
| user | org.apache.shiro.web.filter.authc.UserFilter |
比较常用的过来器有：
anon：AnonymousFilter ：允许匿名访问，即无需登陆。authc：FormAuthenticationFilter ：需要经过认证的用户，才可以访问。如果是匿名用户，则根据 URL 不同，会有不同的处理：如果拦截的 URL 是
GET loginUrl登陆页面，则进行该请求，跳转到登陆页面。如果拦截的 URL 是
POST loginUrl登陆请求，则基于请求表单的username、password进行认证。认证通过后，默认重定向到GET loginSuccessUrl地址。如果拦截的 URL 是其它 URL 时，则记录该 URL 到 Session 中。在用户登陆成功后，重定向到该 URL 上。
logout：LogoutFilter ：拦截的 URL ，执行退出操作。退出完成后，重定向到GET loginUrl登陆页面。roles：RolesAuthorizationFilter ：拥有指定角色的用户可访问。perms：PermissionsAuthorizationFilter ：拥有指定权限的用户可以访问。
下面，让我们回过头来看看 #filterChainDefinitionMap() 方法的具体 URL 的权限配置。代码如下：
// ShiroConfig.java
private Map filterChainDefinitionMap() {
Map filterMap = new LinkedHashMap<>(); // 注意要使用有序的 LinkedHashMap ，顺序匹配
filterMap.put("/test/echo", "anon"); // 允许匿名访问
filterMap.put("/test/admin", "roles[ADMIN]"); // 需要 ADMIN 角色
filterMap.put("/test/normal", "roles[NORMAL]"); // 需要 NORMAL 角色
filterMap.put("/logout", "logout"); // 退出
filterMap.put("/**", "authc"); // 默认剩余的 URL ，需要经过认证
return filterMap;
}
/test/echo：我们设置为anon，允许匿名访问。/test/admin和/test/normal：我们设置为roles[...]，需要指定角色的用户可以访问。其中...处为需要添加的角色名。/logout：我们设置为logout，实现退出操作。/**：剩余的 URL ，我们设置为authc，需要登陆的用户才可以访问。同时，对于loginUrl需要执行登陆相关的拦截。
另外，这里在补充一点，请求在 ShiroFilter 拦截之后，会根据该请求的情况，匹配到配置的内置的 Shiro Filter 们，逐个进行处理。也就是说，ShiroFilter 实际内部有一个由 内置的 Shiro Filter 组成的过滤器链。
至此，我们已经完成了 Shiro 的自定义配置。虽然篇幅有点长，但是可以等我们跑完整个「2. 快速入门」的示例之后，胖友再自己回过头来看看，会发现还是比较清晰明了的。
2.3 SecurityController
在 cn.iocoder.springboot.lab01.shirodemo.controller 包路径下，创建 SecurityController 类，提供登陆、登陆成功等接口。代码如下：
// SecurityController.java
@Controller
@RequestMapping("/")
public class SecurityController {
private Logger logger = LoggerFactory.getLogger(getClass());
@GetMapping("/login")
public String loginPage() { /**省略代码**/ }
@ResponseBody
@PostMapping("/login")
public String login(HttpServletRequest request) { /**省略代码**/ }
@ResponseBody
@GetMapping("/login_success")
public String loginSuccess() { /**省略代码**/ }
@ResponseBody
@GetMapping("/unauthorized")
public String unauthorized() { /**省略代码**/ }
}
一共有 4 个接口，我们逐个来看看。
2.3.1 登陆页面
GET /login 地址，跳转登陆页面。代码如下：
// SecurityController.java
@GetMapping("/login")
public String loginPage() {
return "login.html";
}
返回
resources/static/login.html静态页面。代码如下：登陆页面