shiro的配置和使用

shiro的配置和使用

1.shiro整合spring的配置

	

	  
      
      
      
    
      
    
      
    
    
      
      
      
      
      
      
        
        	/statics/**=anon
			/api/**=anon
        	/login.html=anon
        	/sys/login=anon
        	/captcha.jpg=anon
        	/**=authc
        
   	 
	

  



	
	
	
	




	



	
	

  
  
  

	
    
	

	



	


	

2.shiro配置的讲解

1. shiroFilter 是shiro的过滤器，包含属性securityManager，securityManager是shiro的安全认证的核心组件。属性filterChainDefinitions是过滤连，anon表示不要认证，authc则需要登陆认证。

2. securityManager是安全认证器，包含属性会话管理器sessionManager，用户认证器userRealm，缓存管理器shiroCacheManager

3. sessionManager会话管理器，可以配置session保持时间等

4. userRealm用户认证需要自己继承AuthorizingRealm，并重写登陆认证方法doGetAuthenticationInfo，权限认证方法doGetAuthorizationInfo，还可以重写匹配器方法setCredentialsMatcher来实现自定义密码匹配规则。实现自定义匹配规则有两种方式，一种就是重写setCredentialsMatcher方法如下：

   /**
     * 设置认证加密方式
     */
   

   @Override
   public void setCredentialsMatcher(CredentialsMatcher credentialsMatcher) {
   HashedCredentialsMatcher md5CredentialsMatcher = new HashedCredentialsMatcher();
   md5CredentialsMatcher.setHashAlgorithmName(“MD5”);
   md5CredentialsMatcher.setHashIterations(“1024”);
   super.setCredentialsMatcher(md5CredentialsMatcher);
   }
   另一种是在userRealm配置下，增加属性credentialsMatcher,如下：

   
   
   
   
   

5. AOP式方法级权限检查的配置是spring注解扫描的配置，可以在方法上添加权限的注解 @RequiresPermissions("***")，括号内的参数自定义的权限名称。
   ####3.shiro的使用
   shiro的登陆以及权限认证一般要配合数据库的三张表，用户user,用户角色user_role,角色权限role_permission三张表。用户登陆验证实现流程有两种，一个是没有使用自定义匹配器的，一种是自定义匹配器的

1.没有使用自定义匹配器的登陆验证流程：

（1）点击请求登陆进入login方法，不适用匹配器，默认是不加密进行密码比较的，所以一般是，用户注册时，使用自定义加密方式存密码，用户登陆时，对传过来的密码使用相同的加密方式加密后再传入传入UsernamePasswordToken中。

		//创建UsernamePasswordToken对象
		UsernamePasswordToken token = new UsernamePasswordToken(username, password);
		//登陆验证
        subject.login(token);  

（2）接着会自动进入自定义的realm类的doGetAuthenticationInfo（）方法，从AuthenticationToken中取出username，通过username到数据库中取出用户，创建并返回SimpleAuthenticationInfo对象。SimpleAuthenticationInfo使用三参的构造函数，SimpleAuthenticationInfo(user, password, realmName)

第一个参数是user。

第二个参数是数据库中存的password，这个password是在注册时加密好并存入数据库的，和传入UsernamePasswordToken的password的加密方式一致，从而可以正确匹配。

第三个参数是自定义的realm的名字。shiro框架内部会进行密码验证，如果UsernamePasswordToken中的password的值和数据库的password的值相等则登陆成功，否则抛出异常。

 /**
 	* 认证(登录时调用)
 */
@Override
protected AuthenticationInfo doGetAuthenticationInfo(
        AuthenticationToken token) throws AuthenticationException {
    String username = (String) token.getPrincipal();

    //查询用户信息
    SysUserEntity user = sysUserDao.queryByUserName(username);

    //账号不存在
    if (user == null) {
        throw new UnknownAccountException("账号或密码不正确");
    }

    SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword, getName());
    return info;
}

2.使用自定义匹配器的登陆验证流程：

（1）自定义匹配器有上文介绍的两种方式，选择在实现自定义realm中重写setCredentialsMatcher（）方法，该方法在加载realm时调用，设置匹配器。

    @Override
	public void setCredentialsMatcher(CredentialsMatcher credentialsMatcher) {
    	HashedCredentialsMatcher md5CredentialsMatcher = new HashedCredentialsMatcher();
    	md5CredentialsMatcher.setHashAlgorithmName("MD5");
    	md5CredentialsMatcher.setHashIterations(1024);
    	super.setCredentialsMatcher(md5CredentialsMatcher);
	}

(2)点击请求登陆进入login方法，因为自定义了匹配器，则客户端传过来的password不需要处理直接传入UsernamePasswordToken中。

		//创建UsernamePasswordToken对象
		UsernamePasswordToken token = new UsernamePasswordToken(username, password);
		//登陆验证
        subject.login(token); 

(3)接着会自动进入自定义的realm类的doGetAuthenticationInfo（）方法，从AuthenticationToken中取出username通过username到数据库中取出用户，创建并返回SimpleAuthenticationInfo对象。注意：如果用户注册时存入数据库的密码是加盐加密处理的则使用四参的构造方法，SimpleAuthenticationInfo(user, credentials, salt, realmName)

第一个参数是user。

第二个是数据库中密码。

第三个是盐值。

第四个是realm的名字。

这时候会使用自定义的HashedCredentialsMatcher进行匹配。shiro内部进行匹配时会将UsernamePasswordToken中的passsword按匹配器的规则加密后与数据库中的password进行匹配，匹配成功则登陆成功，否则抛异常。

如果注册时密码是没有加盐处理的，则使用三参的构造函数创建并返回SimpleAuthenticationInfo(user, password, realmName)。

	 /**
 	* 认证(登录时调用)
 */
@Override
protected AuthenticationInfo doGetAuthenticationInfo(
        AuthenticationToken token) throws AuthenticationException {
    String username = (String) token.getPrincipal();

    //查询用户信息
    SysUserEntity user = sysUserDao.queryByUserName(username);

    //账号不存在
    if (user == null) {
        throw new UnknownAccountException("账号或密码不正确");
    }
	//salt是盐
    SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword,user.getSalt, getName());
    return info;
}

3.shiro的权限认证

如果方法上加了注解 @RequiresPermissions(" “),则需要相应的权限，当请求过来时，则先调用realm的doGetAuthorizationInfo（）方法来进行权限验证。获取用户具备的权限集合Set permsSet，然后创建并返回SimpleAuthorizationInfo，simpleAuthorizationInfo.setStringPermissions(permsSet)将权限设置进去，如果具备@RequiresPermissions（” "）权限则可以执行该方法，否则抛异常。

    /**
 * 授权(验证权限时调用)
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
    SysUserEntity user = (SysUserEntity) principals.getPrimaryPrincipal();
    String userId = user.getUserId();

	List permsList = rolePermissionDao.queryList(userId);

    //用户权限列表
    Set permsSet = new HashSet();
    if (permsList != null && permsList.size() != 0) {
        for (String perms : permsList) {
            if (StringUtils.isBlank(perms)) {
                continue;
            }
            permsSet.addAll(Arrays.asList(perms.trim().split(",")));
        }
    }

    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.setStringPermissions(permsSet);
    return info;
}

总结：以上是shiro的基本使用方法，也是借鉴了一些开源项目(platform,guns,jeesite等)并加上自己的理解。如有错误，欢迎指正。