shiro入门
Shiro简介
这里是官网：https://shiro.apache.org/
什么是Shiro
Shiro是一个功能强大且易用的Java安全框架，它主要有验证、授权、加密、会话管理。使用Shiro可以快速搭建一个安全应用程序。
Shiro核心
Shiro中主要包含三大对象
Subject
Subject（主体），外部应用与Subject进行交互使用，Subject记录了当前操作用户。外部程序通过Subject进行认证授权，subject则通过SecurityManager安全管理器进行授权。
SecurityManager
SecurityManager（安全管理器）,对全部的Subject进行管理。通过SecurityManager可以完成Subject的认证、授权等，实质上SeccurityManager是通过Authentication进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理。
Realm
Realm（领域），相当于datasource数据源，但是里面也有认证授权校验的相关代码。SecurityManager进行安全认证需要Realm获取用户权限数据，比如：如果用户身份数据在数据库中，那么realm就需要从数据库获取用户身份信息。
核心架构
Subject
SecurityManager
Realm
Authenticator
Authenticator（认证器），对用户的身份进行认证，它是一个接口，shiro提供了ModularRealmAuthenticator的实现类，通过ModularRealmAuthenticator基本可以满足大多数需求，也可以自定义认证器。
Authorizer
Authorizer（授权器），通过授权器对用户进行授权，以此判断用户可以访问哪些功能。
SessionManger
SessionManager（会话管理器），shiro框架中自己定义了一套会话管理，不依赖于Web容器的session，因此，不要把两个混为一谈，使用这个会话管理器，可以实现单点登录。
SessionDAO
sessionDAO（会话dao），对session会话的一套接口。
CacheManager
CacheManger（缓存管理），将用户权限数据存储在缓存中，提高性能。
Cryptography
Cryptography（密码管理），shiro提供了一套加/解密的组件，方便开发使用。MD5、sha256等等
Springboot中整合Shiro
pom.xml依赖
<!--
Subject 用户
SecurityManager 管理所有用户
Realm 连接数据
-->
<!-- shiro整合spring包-->
<!-- https://mvnrepository.com/artifact/org.apache.shiro/shiro-spring -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.8.0</version>
</dependency>
<!-- 连接数据库-->
<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
</dependency>
<dependency>
<groupId>log4j</groupId>
<artifactId>log4j</artifactId>
<version>1.2.17</version>
</dependency>
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>druid</artifactId>
<version>1.1.12</version>
</dependency>
<dependency>
<groupId>org.projectlombok</groupId>
<artifactId>lombok</artifactId>
<version>1.16.10</version>
</dependency>
<dependency>
<groupId>org.mybatis.spring.boot</groupId>
<artifactId>mybatis-spring-boot-starter</artifactId>
<version>2.1.0</version>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-test</artifactId>
</dependency>
<!-- thymeleaf-整合-shiro -->
<!-- https://mvnrepository.com/artifact/com.github.theborakompanioni/thymeleaf-extras-shiro -->
<dependency>
<groupId>com.github.theborakompanioni</groupId>
<artifactId>thymeleaf-extras-shiro</artifactId>
<version>2.1.0</version>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.thymeleaf</groupId>
<artifactId>thymeleaf-spring5</artifactId>
</dependency>
<dependency>
<groupId>org.thymeleaf.extras</groupId>
<artifactId>thymeleaf-extras-java8time</artifactId>
</dependency>
实现
根据上面的核心，可以看出想要使用shiro实现安全认证、授权，需要配置Shiro，但是在配置时，需要realm所以需要先开发一个自定义的realm。
package com.zhou.config;
import com.zhou.pojo.User;
import com.zhou.service.UserService;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.assertj.core.util.Lists;
import org.assertj.core.util.Sets;
import org.springframework.beans.factory.annotation.Autowired;
import java.util.HashSet;
import java.util.Set;
//自定义realm
public class UserRealm extends AuthorizingRealm {
@Autowired
private UserService userService;
//登录
//认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
System.out.println("执行了====>认证");
UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
//用户名，密码 数据库中取
User user = userService.queryUserByName(token.getUsername());
if (user == null){
return null; //抛出异常 UnknownAccountException
}
//密码认证，shiro做
return new SimpleAuthenticationInfo(user, user.getPwd(),"");
}
//授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
System.out.println("执行了====>授权");
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
//获取当前用户user
Subject subject = SecurityUtils.getSubject();
User currentUser = (User) subject.getPrincipal();
String[] split = currentUser.getPerms().split(";");
for (String s : split) {
//设置当前用户角色
info.addStringPermission(s);
}
//设置当前用户角色权限组
// Set perms = new HashSet<>();
// for (String s : split) {
// perms.add(s);
// }
// info.setStringPermissions(perms);
return info;
}
}
这里面主要实现了认证以及授权
package com.zhou.config;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.util.HashMap;
import java.util.LinkedHashMap;
import java.util.Map;
@Configuration
public class ShiroConfig {
//ShiroFilterFactoryBean
@Bean
public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("getDefaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager){
ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
//设置安全管理器
bean.setSecurityManager(defaultWebSecurityManager);
//拦截
//添加shiro内置过滤器
/**
* anon: 无需认证就可以访问
* authc：必须认证了才可以访问、
* user：必须拥有 记住我 功能才可以用
* perms: 对拥有某个资源的权限才可以访问
* role：拥有某个角色权限才能访问
*/
Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
// filterChainDefinitionMap.put("/user/add","anon");
// filterChainDefinitionMap.put("/user/update", "authc");
//授权
filterChainDefinitionMap.put("/user/add","perms[user:add]");
filterChainDefinitionMap.put("/user/update","perms[user:update]");
//登录过滤
filterChainDefinitionMap.put("/user/*", "authc");
bean.setFilterChainDefinitionMap(filterChainDefinitionMap);
bean.setLoginUrl("/toLogin");
//未授权页面跳转
bean.setUnauthorizedUrl("/noauth");
return bean;
}
//DefaultWebSecurityManager
@Bean
public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
//关联realm
securityManager.setRealm(userRealm);
return securityManager;
}
//创建Realm对象
@Bean
public UserRealm userRealm(){
return new UserRealm();
}
}
config中bean的创建是由下向上的，每次都引用下面的bean
在shiro内置过滤器常见的过滤器有：
- anon: 无需认证就可以访问
- authc：必须认证了才可以访问、
- user：必须拥有 记住我 功能才可以用
- perms: 对拥有某个资源的权限才可以访问
- role：拥有某个角色权限才能访问
controller
package com.zhou.controller;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;
@Controller
public class MyController {
@RequestMapping({"/","/index"})
public String toIndex(Model model){
model.addAttribute("msg","hello, shiro");
return "index";
}
@RequestMapping("/user/add")
public String add(){
return "user/add";
}
@RequestMapping("/user/update")
public String update(){
return "user/update";
}
@RequestMapping("/toLogin")
public String toLogin(){
return "login";
}
@RequestMapping("/login")
public String login(String username, String password,Model model){
//获取当前用户
Subject subject = SecurityUtils.getSubject();
//封装用户的登录数据
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
try {
subject.login(token);//执行登录方法,如果没有异常则校验成功
return "index";
} catch (UnknownAccountException e) {//用户名不存在
model.addAttribute("msg","用户名不存在");
return "login";
} catch (IncorrectCredentialsException e){
model.addAttribute("msg","密码错误");
return "login";
}
}
@RequestMapping("/noauth")
@ResponseBody
public String unauthorized(){
return "未经授权，无法访问此页面";
}
}
这里调用login进行登录，然后可以在UserRealm中自定义认证和授权逻辑。