shiro实现登录认证与权限授权管理

Apache Shiro 是一个强大而灵活的开源安全框架，从官网上，我们基本上可以了解到，她提供的服务非常明确：
1.Authentication（认证）

2.Authorization（授权）

3.Session Management（会话管理）

4.Cryptography（加密）

1.maven配置

        
        
            org.apache.shiro
            shiro-all
            1.4.0
        
        
            org.apache.shiro
            shiro-cas
            1.2.0
        

2 在web.xml中添加shiro过滤器

 
    
      
        
        shiroFilter
        org.springframework.web.filter.DelegatingFilterProxy
        
            targetFilterLifecycle
            true
        
    

3 spring中对shiro配置

    
    
        
    
    
        
    

    
    
        
        
        
        
        
        
        
        
        
            
        
        
        
            
                /checkpreload.htm = anon 
                /agent.ateye = anon
                /agent.jveye = anon
                / = authc
                /login/callback.htm = anon
                /login/login.htm = anon
                /login/checkLogin.htm = anon
                /login/unauthorized.htm = anon
                /login/changeSeller.htm = authc
                /login/logout = logout
                /login/api/** = anon
                /login/** = anon
                /** = authc
            
        
    
    
    
        
        
    

    
    

    
    
        
        
        
        
        
        
    
	
    
      
    

    
    
    
        
        
        
        
        
        
        
        
        
        
        
        
        
        
        
        
        
    

    
    
        
        
        
        
    
    
    

    
    
        
        
        
        
        
        
    

    
    
        
        
        
        
    

    
    
    

property name="filters"可以配置我们自定义的filter
shiron自带的filter如下我们可以继承这些filter来实现自己需要的一些功能，这些filter也就是filterChainDefinitions过滤规则所执行的filter我们可以根据过滤条件选择我们需要继承的filter

Filter Name	Class	含义
anon	org.apache.shiro.web.filter.authc.AnonymousFilter	没有参数，表示可以匿名使用。
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter	表示需要认证(登录)才能使用，没有参数
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter	没有参数表示httpBasic认证
logout	org.apache.shiro.web.filter.authc.LogoutFilter
noSessionCreation	org.apache.shiro.web.filter.session.NoSessionCreationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter	参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，例如/admins/user/**=perms[“user:add:,user:modify:”]，当有多个参数时必须每个参数都通过才通过，想当于isPermitedAll()方法。
port	org.apache.shiro.web.filter.authz.PortFilter	当请求的url的端口不是8081是跳转到schemal://serverName:8081?queryString,其中schmal是协议http或https等，serverName是你访问的host,8081是url配置里port的端口，queryString是你访问的url里的？后面的参数。
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter	根据请求的方法，相当于/admins/user/**=perms[user:method] ,其中method为post，get，delete等。
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter	参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，当有多个参数时，例如admins/user/**=roles[“admin,guest”],每个参数通过才算通过，相当于hasAllRoles()方法。
ssl	org.apache.shiro.web.filter.authz.SslFilter	表示安全的url请求，协议为https
user	org.apache.shiro.web.filter.authc.UserFilter	没有参数表示必须存在用户，当登入操作时不做检查

cacheManager和sessionDAO的区别：
cacheManager缓存里可以包含权限认证的缓存、用户及权限信息的缓存等，也可以做session缓存。但是sessionDAO顾名思义就是做session持久化的，只是它刚好可以使用redis来存储而已。是完全不同的两个概念，通俗来说cacheManager是用来存储用户信息的sessionDAO是用来做session缓存的。

4 自定义Shiro缓存管理器

public class ShiroRedisCacheManager implements CacheManager, Initializable, Destroyable {


    private String keyPrefix = "shiro_redis_cache:";
    //ShiroRedisManager 为redis工具类
    private ShiroRedisManager redisManager;
    @Override
    public  Cache getCache(String name) throws CacheException {
       //RedisCache为Cache 实现类 实现类方法内通过redisManager进行数据操作
        Cache c  = new RedisCache(redisManager, keyPrefix);

        return c;
    }
}

实现CacheManager接口就可以了

4.getSessionId的重写

/** * Description:shiro框架 自定义session获取方式 *
可自定义session获取规则。这里采用ajax请求头authToken携带sessionId的方式 * **/ public
class ShiroSessionManager extends DefaultWebSessionManager {

private static final String AUTHORIZATION = "authToken";

private static final String REFERENCED_SESSION_ID_SOURCE = "Stateless request";

public ShiroSessionManager(){
    super();
}

@Override
protected Serializable getSessionId(ServletRequest request, ServletResponse response){
    String id = WebUtils.toHttp(request).getHeader(AUTHORIZATION);
    System.out.println("id："+id);
    if(StringUtils.isEmpty(id)){
        //如果没有携带id参数则按照父类的方式在cookie进行获取
        System.out.println("super："+super.getSessionId(request, response));
        return super.getSessionId(request, response);
    }else{
        //如果请求头中有 authToken 则其值为sessionId    request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_SOURCE,REFERENCED_SESSION_ID_SOURCE);
        request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID,id);
        request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID,Boolean.TRUE);
        return id;
    }
}

5 自定义Realm编码

public class OauthRealm extends AuthorizingRealm {
	// 设置realm的名称
	@Override
	public void setName(String name) {
		super.setName("customRealm");
	}
 
	@Autowired
	private AdminUserService adminUserService;
 
	/**
	 * 认证
	 */
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
 
		// token中包含用户输入的用户名和密码
		// 第一步从token中取出用户名
		String userName = (String) token.getPrincipal();
		// 第二步：根据用户输入的userCode从数据库查询
		TAdminUser adminUser = adminUserService.getAdminUserByUserName(userName);
		// 如果查询不到返回null
		if (adminUser == null) {//
			return null;
		}
		// 获取数据库中的密码
		String password = adminUser.getPassword();
		/**
		 * 认证的用户,正确的密码
		 */
 
		return SimpleAuthenticationInfo(adminUser, token.getCredentials(), getName());
	}
 
	/**
	 * 授权,只有成功通过doGetAuthenticationInfo方法的认证后才会执行。
	 */
	@Override
	protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
	SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
		// 从 principals获取主身份信息
		// 将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型），
		TAdminUser activeUser = (TAdminUser)SecurityUtils.getSubject().getPrincipal();
		// 根据身份信息获取权限信息
		// 从数据库获取到角色数据
		TAdminRole roles= adminUserService.getAdminRoles(activeUser);
		//遍历角色下的功能位
		for (RoleDO role : roles) {
        Set permissionList = new HashSet<>();
        List functionBits = role.getFunctionBitList();
        for (int i = 0; i < functionBits.size(); i++) {
            permissionList.add(functionBits.get(i) + "");
        }
         //将功能位列表就是最终的权限 通过在控制层@RequiresPermissions("3")注解限制权限为3才可以访问
        info.addStringPermissions(permissionList);
    }
		return simpleAuthorizationInfo;