从类别上分,有两大类:
- 认证:你是谁?–识别用户身份。
- 授权:你能做什么?–限制用户使用的功能。
从控制级别(模型)上分:
- URL级别-粗粒度
- 方法级别-细粒度
- 页面级别-自定义标签(显示)
- 数据级别-最细化的(数据)
在web.xml中配置一个过滤器filter,在过滤器中,对请求的地址进行解析,字符串截取:
url.substring()…把上下文前面的路径都截取掉,剩下user_login.action。
过滤器代码:
以通过查询数据库,来判断,当前登录用户,是否可以访问user_login.action。
url级别控制,每次请求过程中只控制一次 ,相比方法级别权限控制 是粗粒度的 !URL级别权限控制,基于Filter实现。
aop面向切面的编程,在方法执行之前,进行权限判断,如果没有权限,抛出异常,终止方法的继续运行。
自定义注解 在需要权限控制方法上, 添加需要的权限信息
代理 (Spring AOP ),在目标方法运行时 进行增强 ,通过反射技术获取目标方法上注解中权限 , 查询数据库获取当前登陆用户具有权限,进行比较。
相比URL级别权限控制, 可以控制到服务器端执行的每个方法,一次请求中可以控制多次。
页面显示的权限控制,通常是通过 自定义标签来实现
在每条数据上增加一个字段,该字段记录了权限的值。数据和权限绑定。
代码,你在查询数据的时候,需要去权限和用户对应表中,通过当前登录用户的条件,查询出你的数据权限。然后再将数据权限作为一个条件,放到业务表中进行查询。从而限制了数据的访问。
表对象实体:
- 用户(User)表:访问系统的用户,比如用户登录要用
- 权限(Function)表:系统某个功能允许访问而对应的权限
- 角色(Role)表:角色是权限的集合(权限组),方便用户授权。
表对象之间的关系:
- 用户和角色关系表:一个用户对应N个角色,一个角色可以授予N个用户—》多对多关系
- 角色和权限关系表:一个角色包含N个权限,一个权限可以属于N个角色—》多对多关系
完整的权限相关表:
URL级别权限控制包含:资源表、权限表、角色表、用户表,以及相关关系(都是多对多),共7张表。
方法级别的权限控制包含:功能权限、角色、用户,以及相关关系(都是多对多),共5张表。
但Apache Shiro框架支持的URL级别权限控制,是将资源和资源权限对应关系配置到了配置文件中,不需要表的支撑,只需要5张表了。
Apache Shiro 可以不依赖任何技术使用, 可以直接和web整合,通常在企业中和Spring 结合使用。
Authentication: 认证 — 用户登录
Authorization : 授权 —- 功能权限管理
官方建议:不推荐直接引入shiro-all,依赖比较多,原因怕有jar冲突。官方推荐根据需要单独导入jar。
Shiro的框架的体系结构:
Shiro权限控制流程的原理:
配置过滤器web.xml:放在struts的前端控制器之前配置,但放在openEntitymanage之后。
<filter>
<filter-name>shiroSecurityFilterfilter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxyfilter-class>
<init-param>
<param-name>targetFilterLifecycleparam-name>
<param-value>trueparam-value>
init-param>
filter>
<filter-mapping>
<filter-name>shiroSecurityFilterfilter-name>
<url-pattern>/*url-pattern>
filter-mapping>
配置ApplicationContext.xml:(shiro权限控制过滤器+ shiro安全管理器)
<bean id="shiroSecurityFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager" />
<property name="loginUrl" value="/login.jsp" />
<property name="successUrl" value="/index.jsp" />
<property name="unauthorizedUrl" value="/unauthorized.jsp" />
<property name="filterChainDefinitions">
<value>
/login.jsp = anon
/validatecode.jsp = anon
/js/** = anon
/css/** = anon
/images/** = anon
/user_login.action* = anon
/page_base_staff.action = anon
/page_base_region.action = perms["user"]
/page_base_subarea.action = roles["operator"]
/** = authc
value>
property>
bean>
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
bean>
配置shiroFilter 其实是一个过滤器链,含有10个Filter(校验功能)。
常用:
认证
- anon不用认证(登录)就能访问(单词注意大小写)
- authc: 需要认证(登录)才能使用,例如/admins/user/**=authc,没有参数。
授权:
- perms:需要拥有某权限才能使用,如具体允许的权限:/page_base_region.action =perms[“user”],如果要访问该action,当前登录用户必须拥有user名字的权限。
- roles:需要拥有某角色才能使用,如具体允许的角色:/page_base_subarea.action = roles[“operator”]如果要访问该action,当前用户必须拥有operator权限。
Shiro实现登录逻辑
用户输入用户名和密码 —- 应用程序调用Subject的login方法 —- Subject 调用SecurityManager的方法 —- SecurityManager 调用Realm的认证方法 —- 认证方法根据登录用户名查询密码 ,返回用户的密码 —- SecurityManager 比较用户输入的密码和真实密码是否一致 。
@Action(value="user_login",results={@Result(name=SUCCESS,type="redirect",location="/index.jsp"),@Result(name=LOGIN,location="/login.jsp")})
@InputConfig(resultName="login")
public String login() throws Exception {
//shrio:登陆逻辑
//获取认证对象的包装对象
Subject subject = SecurityUtils.getSubject();
//获取一个认证的令牌:
//直接获取页面的用户和密码进行校验
AuthenticationToken authenticationToken = new UsernamePasswordToken(model.getUsername(),MD5Utils.md5(model.getPassword()));
//认证过程
try {
// 如果成功,就不抛出异常,会自动将用户放入session的一个属性
subject.login(authenticationToken);
//成功,返回首页
return SUCCESS;
}catch(UnknownAccountException e){
//用户名错误
addActionError(getText("UserAction.usernamenotfound"));
//返回登陆页面
return LOGIN;
}catch (IncorrectCredentialsException e) {
//密码错误
addActionError(getText("UserAction.passwordinvalid"));
//返回登陆页面
return LOGIN;
}
catch (AuthenticationException e) {
//认证失败
e.printStackTrace();
//页面上进行提示
addActionError(getText("UserAction.loginfail"));
//返回登陆页面
return LOGIN;
}
}
JdbcRealm和jndiLdapRealm,直接连接jdbc或jndi或ldap。
相当于dao和reaml整合了,能直接读取数据库,逻辑代码都实现好了。
/**
* 实现认证和授权功能
*自定义的realm,作用从数据库查询数据,并返回数据库认证的信息
*/
@Component("bosRealm")
public class BosRealm extends AuthorizingRealm{
//注入ehcache的缓存区域
@Value("BosShiroCache")//注入缓存具体对象的名字,该名字在ehcache.xml中配置的
public void setSuperAuthenticationCacheName(String authenticationCacheName){
super.setAuthenticationCacheName(authenticationCacheName);
}
//注入service
@Autowired
private UserService userService;
//注入角色dao
@Autowired
private RoleDao roleDao;
//注入功能的dao
@Autowired
private FunctionDao functionDao;
//授权方法:获取用户的权限信息
//授权:回调方法
//如果返回null,说明没有权限,shiro会自动跳到
//如果不返回null,根据配置/page_base_subarea.action = roles["weihu"],去自动匹配
//给授权提供数据的
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
//给当前用户授权的权限(功能权限、角色)
SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
//两种方式:
//方式1:工具类来获取(首长-)
// User user=(User)SecurityUtils.getSubject().getPrincipal();
//方式2:通过参数获取首长(推荐)
User user = (User) principals.getPrimaryPrincipal();
//实际:需要根据当前用户的角色和功能权限来构建一个授权信息对象,交给安全管理器
if (user.getUsername().equals("admin")) {
//如果是超级管理员
//查询出所有的角色,给认证信息对象
List roleList = roleDao.findAll();
for (Role role : roleList) {
authorizationInfo.addRole(role.getCode());
}
//查询出所有的功能权限,给认证对象
List functionList = functionDao.findAll();
for (Function function : functionList) {
authorizationInfo.addStringPermission(function.getCode());
}
} else {
//如果是普通用户
List roleList = roleDao.findByUsers(user);
for (Role role : roleList) {
authorizationInfo.addRole(role.getCode());
//导航查询,获取某角色的拥有的功能权限
Set functions = role.getFunctions();
for (Function function : functions) {
authorizationInfo.addStringPermission(function.getCode());
}
}
}
return authorizationInfo;//将授权信息交给安全管理器接口。
}
//认证:回调,认证管理器会将认证令牌放到这里(action层的令牌AuthenticationToken)
//发现如果返回null,抛出用户不存在的异常UnknownAccountException
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//用户名密码令牌(action传过来)
UsernamePasswordToken upToken = (UsernamePasswordToken) token;
//调用业务层来查询(根据用户名来查询用户,无需密码)
User user = userService.findByUsername(upToken.getUsername());
//判断用户是否存在
if (user == null) {
//用户不存在
return null;//抛出异常
} else {
//用户名存在
//参数1:用户对象,将来要放入session,数据库查询出来的用户
//参数2:凭证(密码):密码校验:校验的动作交给shiro
//参数3:当前使用的Realm在Spring容器中的名字(bean的名字,自动在spring容器中寻找)
SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(user, user.getPassword(), super.getName());
return authenticationInfo;//密码校验失败,会自动抛出IncorrectCredentialsException
}
}
}
ApplicatonContext.xml:
<context:component-scan base-package="cn.aric.bos.service,cn.aric.bos.web,cn.aric.bos.auth.realm" />
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="bosRealm">property>
<property name="cacheManager" ref="shiroCacheManager"/>
bean>
/**
* 用户退出登录
* @return
* @throws Exception
*/
@Action(value="user_logout",results={@Result(name=LOGIN,type="redirect",location="/login.jsp")})
public String logout() throws Exception {
//shiro退出
Subject subject = SecurityUtils.getSubject();
subject.logout();
//跳转登陆页面
return LOGIN;
}
/**
* 用户修改密码
* @return
* @throws Exception
*/
// @Action(value="user_editPassword",results={@Result(name=JSON,type=JSON)})
@Action("user_editPassword")
public String editPassword() throws Exception {
//获取Principal就是获取当前用户
User loginUser = (User) SecurityUtils.getSubject().getPrincipal();
model.setId(loginUser.getId());
//页面结果
HashMap resultMap = new HashMap();
try {
//调用service进行修改密码
userService.updateUserPassword(model);
//修改成功
resultMap.put("result", true);
} catch (Exception e) {
e.printStackTrace();
//修改失败
resultMap.put("result", false);
}
//将结果压入栈顶
ActionContext.getContext().getValueStack().push(resultMap);
//转换为json
return JSON;
}
数据库数据添加,applicationContext.xml配置
"filterChainDefinitions">
/login.jsp = anon
/validatecode.jsp = anon
/js/** = anon
/css/** = anon
/images/** = anon
/user_login.action = anon
/page_base_staff.action = anon
/page_base_region.action = perms["region"]
/page_base_subarea.action = roles["weihu"]
/page_qupai_noticebill_add.action = perms["noticebill"]
/page_qupai_quickworkorder.action = roles["kefu"]
/** = authc
代码在上面的BosRealm的中,protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals)
RoleDao省略。
需要 Shiro 的 Spring AOP 集成来扫描合适的注解类以及执行必要的安全逻辑。
ApplicationContext.xml
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
depends-on="lifecycleBeanPostProcessor">
bean>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager"/>
bean>
在需要权限控制的目标方法上面使用shiro的注解:
@RequiresAuthentication 需要用户登录
subject.isAuthenticated() 必须返回true
@ RequiresUser
subject.isAuthenticated() 返回true 或者subject.isRemembered() 返回true
“Remember Me”服务:
认证机制 基于 session
被记忆机制 基于 cookie (subject.isAuthenticated() 返回 false )
@ RequiresGuest 与 @RequiresUser 相反,不能认证也不能被记忆。
@ RequiresRoles 需要角色
@RequiresPermissions 需要权限
解决方案:
配置ApplicationContext.xml,设置代理为cglib代理(对目标类代理)
<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
depends-on="lifecycleBeanPostProcessor" >
<property name="proxyTargetClass" value="true"/>
bean>
方案二:
<aop:config proxy-target-class="true" />
解决方案:递归向上寻找泛型的类型。
//递归向上 查找
Class actionClass =this.getClass();
//向父类递归寻找泛型
while(true){
//得到带有泛型的类型,如BaseAction<Userinfo>
Type type = actionClass.getGenericSuperclass();
if(type instanceof ParameterizedType){
//转换为参数化类型
ParameterizedType parameterizedType = (ParameterizedType) type;
//获取泛型的第一个参数的类型类,如Userinfo
Class<T> modelClass = (Class<T>) parameterizedType.getActualTypeArguments()[0];
//实例化模型对象
try {
model=modelClass.newInstance();
} catch (InstantiationException e) {
e.printStackTrace();
} catch (IllegalAccessException e) {
e.printStackTrace();
}
break;
}
//寻找父类
actionClass=actionClass.getSuperclass();
}
解决方案1:使用public 的Setter方法上的注解直接注入Service。
SubareaAction:
//注入service
private SubareaService subareaService;
@Autowired
public void setSubareaService(SubareaService subareaService) {
this.subareaService = subareaService;
}
解决方案2:
@Autowire还放到私有声明上,
在struts.xml中覆盖常量(开启自动装配策略):
值默认是false,struts2默认注入采用的是构造器注入(从spring中寻找的bean)
改成true,struts2会采用setter方法注入
<%@ taglib uri="http://shiro.apache.org/tags" prefix="shiro"%>
资源通配符和权限通配符可便捷开发。
使用代码编程的方式,直接在程序中使用Subject对象,调用内部的一些API。(有代码侵入)
//代码级别的权限控制(授权):功能权限和角色权限:两套机制:boolean判断,异常判断
//授权的权限控制
//====布尔值判断
//功能权限
if(subject.isPermitted("staff")){
//必须拥有staff功能权限才能执行代码
System.out.println("我是一段代码。。。。。");
}
//角色权限
if(subject.hasRole("weihu")){
//必须拥有staff功能权限才能执行代码
System.out.println("我是一段代码。。。。。");
}
//====异常判断
//功能权限
try {
subject.checkPermission("staff");
//有权限
} catch (AuthorizationException e) {
// 没权限
e.printStackTrace();
}
//角色权限
try {
subject.checkRole("weihu");
//有权限
} catch (AuthorizationException e) {
// 没权限
e.printStackTrace();
}