web中采用shiro实现登录认证与权限授权管理

Apache Shiro是Java的一个安全框架。

官网对shiro的介绍：Apache Shiro™ is a powerful and easy-to-use Java security framework that performs authentication, authorization, cryptography, and session management. With Shiro’s easy-to-understand API, you can quickly and easily secure any application – from the smallest mobile applications to the largest web and enterprise applications.

  翻译一下：Apache Shiro™是强大且易于使用的Java安全框架，可执行认证，授权，加密和会话管理。借助Shiro易于理解的API，您可以快速轻松地确保任何应用程序 - 从最小的移动应用程序到最大的Web和企业应用程序。

本篇介绍shiro进行登陆认证和权限授权，并与web集成。

1、在pom.xml中引入shiro的jar包

  
          
            org.apache.shiro  
            shiro-core  
            1.2.1  
          
          
            org.apache.shiro  
            shiro-web  
            1.2.1  
          
          
            org.apache.shiro  
            shiro-ehcache  
            1.2.1  
          
          
            org.apache.shiro  
            shiro-spring  
            1.2.1  
        

2、在web.xml中添加shiro过滤器（启动web程序的时候，javaweb会自动读取web.xml文件，创建servelet上下文并共享）

        shiroFilter
        org.springframework.web.filter.DelegatingFilterProxy
    
    
        shiroFilter
        /admin/*
    

3、创建spring-shiro.xml，在spring中集成shiro

    
    
        
        
        
        
        
        
        
        
        
        
            
        
        
            
                
                /images/** = anon
                /js/** = anon
                /styles/** = anon
                
                /validatecode.jsp = anon
                
                /admin/logout.do = logout
                
                
                
                /welcome.jsp = user
                /admin/index.do = user
                
                /** = authc
            
        
    

    
    
        
        
        
        
        
        
        
    

    
    
        
        
    

    
    
        
        
        
        
    

    
    
    
    
        
        
        
        
        
        
    
    
    
        
        
        
        
    
    
    
        
    
    
    
        
    
    
    
        
        
        
        
    

4、shiro中唯一需要用户管理的就是realm了，因为realm是做登陆认证和权限认证的，具体的认证规则需要用户自定义

创建CustomRealm，如下

public class CustomRealm extends AuthorizingRealm {
    // 设置realm的名称
    @Override
    public void setName(String name) {
        super.setName("customRealm");
    }

    @Autowired
    private AdminUserService adminUserService;

    /**
     * 认证
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {

        // token中包含用户输入的用户名和密码
        // 第一步从token中取出用户名
        String userName = (String) token.getPrincipal();
        // 第二步：根据用户输入的userCode从数据库查询
        TAdminUser adminUser = adminUserService.getAdminUserByUserName(userName);
        // 如果查询不到返回null
        if (adminUser == null) {//
            return null;
        }
        // 获取数据库中的密码
        String password = adminUser.getPassword();
        /**
         * 认证的用户,正确的密码
         */
        AuthenticationInfo authcInfo = new SimpleAuthenticationInfo(adminUser, password, this.getName());
               //MD5 加密+加盐+多次加密
//SimpleAuthenticationInfo authcInfo = new SimpleAuthenticationInfo(adminUser, password,ByteSource.Util.bytes(salt), this.getName());
        return authcInfo;
    }

    /**
     * 授权,只有成功通过doGetAuthenticationInfo方法的认证后才会执行。
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 从 principals获取主身份信息
        // 将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型），
        TAdminUser activeUser = (TAdminUser) principals.getPrimaryPrincipal();
        // 根据身份信息获取权限信息
        // 从数据库获取到权限数据
        TAdminRole adminRoles = adminUserService.getAdminRoles(activeUser);
        // 单独定一个集合对象
        List permissions = new ArrayList();
        if (adminRoles != null) {
            permissions.add(adminRoles.getRoleKey());
        }
        // 查到权限数据，返回授权信息(要包括 上边的permissions)
        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
        // 将上边查询到授权信息填充到simpleAuthorizationInfo对象中
        simpleAuthorizationInfo.addStringPermissions(permissions);
        return simpleAuthorizationInfo;
    }

    // 清除缓存
    public void clearCached() {
        PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals();
        super.clearCache(principals);
    }
}

5、创建shiro-ehcache.xml,在spring-shiro.xml中会读取这个配置文件，作为缓存配置。

6、用户登陆方法，用户登录时，需要先在后台做一次用户空判断（虽然前端已经做了，但是为了防止有人通过http恶意访问网站，获取网站信息），登录方法如下：

public Object loginPost(HttpServletRequest request, HttpServletResponse response,
            String username, String password, String captcha, 
            @RequestParam(value = "rememberMe", defaultValue = "0") Integer rememberMe) {
        logger.info("POST请求登录");
        // 改为全部抛出异常，避免ajax csrf token被刷新
        if (StringUtils.isBlank(username)) {
            throw new RuntimeException("用户名不能为空");
        }
        if (StringUtils.isBlank(password)) {
            throw new RuntimeException("密码不能为空");
        }
        if (StringUtils.isBlank(captcha)) {
            throw new RuntimeException("验证码不能为空");
        }
        if (!dreamCaptcha.validate(request, response, captcha)) {//验证码生成和验证的方法需要自己实现，如果不开启验证码则可以去掉
            throw new RuntimeException("验证码错误");
        }
        Subject user = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        // 设置记住密码
        token.setRememberMe(1 == rememberMe);
        try {
            user.login(token);
            return renderSuccess();
        } catch (UnknownAccountException e) {
            throw new RuntimeException("账号不存在！", e);
        } catch (DisabledAccountException e) {
            throw new RuntimeException("账号未启用！", e);
        } catch (IncorrectCredentialsException e) {
            throw new RuntimeException("密码错误！", e);
        } catch (Throwable e) {
            throw new RuntimeException(e.getMessage(), e);
        }
    }

7、如果开启了验证码登陆功能，则需要在后台加一个验证码生成类，生成验证码之后存在session中，然后在用户登陆时进行验证码的验证。

虽然shiro框架是一种轻量级的Java安全框架，官网描述的多么多么简单，但是真正使用起来还是有一定的难度，特别是shiro加入的一些专业名词和验证步骤，推荐大家一个好的项目，通过git克隆下来就可以直接使用，基本上可以作为一个权限控制框架练练手

项目地址：https://gitee.com/wangzhixuan/spring-shiro-training