框架架构如下(来源于网络):
Authentication:身份认证/登录,验证用户是不是拥有相应的身份;
Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限;
Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通JavaSE环境的,也可以是如Web环境的;
Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
Web Support:Web支持,可以非常容易的集成到Web环境;
Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可以提高效率;
Concurrency:shiro支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去;
Testing:提供测试支持;
Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了
这篇文字关于shiro的架构和各模块的解释比较清楚,http://jinnianshilongnian.iteye.com/blog/2018936,了解了基本的知识后就是开始和怎么使用了
1、在javase中的应用
基于maven项目,首先导入相关jar包,日志和shrio核心包
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-log4j12</artifactId>
<version>1.7.19</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>${shiro.version}</version>
</dependency>
具体代码如下:
//日志
Logger logger = LoggerFactory.getLogger(HelloShiro.class);
//加载配置信息
IniSecurityManagerFactory securityManagerFactory = new IniSecurityManagerFactory("classpath:helloshiro.ini");
//
SecurityManager securityManager = securityManagerFactory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
//获取当前登入用户
Subject subject = SecurityUtils.getSubject();
//判断是否有角色
boolean hasRole = subject.hasRole("admin");
System.err.println(">>>>>>>>>>>>hasRole:"+hasRole);
AuthenticationToken token = new UsernamePasswordToken("shiro", "123456");
try {
subject.login(token);
logger.info("login success...");
//判断
boolean hasRole2 = subject.hasRole("admin");
System.err.println(">>>>>>>>>>>>hasRole:"+hasRole2);
//根据业务组装对应的权限串
boolean hasSelect = subject.isPermitted("user:select");
System.err.println("hasSelect:"+hasSelect);
//对某个类型 :操作:实例的权限
//domain:actions:targets
UserDomainPermission permission = new UserDomainPermission("delete", null);
// permission.setDomain("user");//default:userdomain
boolean hasDelete = subject.isPermitted(permission);
System.err.println("hasDelete:"+hasDelete);
} catch (AuthenticationException e) {
//根据异常类型确定登入失败原因
logger.error("login error!");;
e.printStackTrace();
}
//日志
Logger logger = LoggerFactory.getLogger(HelloShiro.class);
//加载配置信息
IniSecurityManagerFactory securityManagerFactory = new IniSecurityManagerFactory("classpath:helloshiro.ini");
//
SecurityManager securityManager = securityManagerFactory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
//获取当前登入用户
Subject subject = SecurityUtils.getSubject();
//判断是否有角色
boolean hasRole = subject.hasRole("admin");
System.err.println(">>>>>>>>>>>>hasRole:"+hasRole);
AuthenticationToken token = new UsernamePasswordToken("shiro", "123456");
try {
subject.login(token);
logger.info("login success...");
//判断
boolean hasRole2 = subject.hasRole("admin");
System.err.println(">>>>>>>>>>>>hasRole:"+hasRole2);
//根据业务组装对应的权限串
boolean hasSelect = subject.isPermitted("user:select");
System.err.println("hasSelect:"+hasSelect);
//对某个类型 :操作:实例的权限
//domain:actions:targets
UserDomainPermission permission = new UserDomainPermission("delete", null);
// permission.setDomain("user");//default:userdomain
boolean hasDelete = subject.isPermitted(permission);
System.err.println("hasDelete:"+hasDelete);
} catch (AuthenticationException e) {
//根据异常类型确定登入失败原因
logger.error("login error!");;
e.printStackTrace();
}
其中 helloshiro.ini文件放在src/main/resources中即可,主要配资的是用户认证和权限相关信息,以K,V形式保存
#用户信息,所拥有角色
[users]
#username=password,[roles]
shiro=123456,admin,manager
jack=000000,oper
#角色对应权限
[roles]
admin=user:*
manager=user:retrieve,user:update,user:delete
oper=user:create,user:update
当然我们也可以将这些数据存入数据库,通过读取数据库来进行验证,首先加入相关jar:
<dependency>
<groupId>c3p0</groupId>
<artifactId>c3p0</artifactId>
<version>0.9.1.2</version>
</dependency>
<dependency>
<groupId>commons-logging</groupId>
<artifactId>commons-logging</artifactId>
<version>1.2</version>
</dependency>
<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
<version>5.1.38</version>
</dependency>
同时ini文件如下:
[main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
#数据库指定自己的表和字段
#jdbcRealm=com.shiro.realm.jdbcrealm.UserJdbcRealm
dataSource=com.mchange.v2.c3p0.ComboPooledDataSource
dataSource.driverClass=com.mysql.jdbc.Driver
dataSource.jdbcUrl=jdbc:mysql://localhost:3306/shiro
dataSource.user=root
dataSource.password=123456
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm
其余的处理都是相同的,可以打开
org.apache.shiro.realm.jdbc.JdbcRealm
对应的表 字段都可以在里面看到,把对应的用户、角色、权限信息都存入对应表对应字段。