写在最后
在结束之际,我想重申的是,学习并非如攀登险峻高峰,而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后,持之以恒的学习变得愈发不易,如同在茫茫大海中独自划舟,稍有松懈便可能被巨浪吞噬。然而,对于我们程序员而言,学习是生存之本,是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习,我们便如同逆水行舟,不进则退,终将被时代的洪流所淘汰。因此,不断汲取新知识,不仅是对自己的提升,更是对自己的一份珍贵投资。让我们不断磨砺自己,与时代共同进步,书写属于我们的辉煌篇章。
需要完整版PDF学习资源私我
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
+ 人类用户:比如一个通过浏览器登录的用户。
+ 第三方进程:其他应用程序或服务,可以通过 API 与你的应用程序交互。
+ 定时任务:自动执行的定时任务也可以是一个Subject,比如定期执行的数据库备份任务。
- Principals:Subject 的身份属性。例如:名字、姓氏、用户id、身份证号码。
- Credentials:用于认证身份的私密数据。例如:密码、生物特征数据等。
- Realms:专用于安全领域的数据访问对象(DAO),负责与后端数据源交互。Realms 负责验证用户提交的凭证(如用户名和密码)是否与后端数据源中的记录匹配。
Shiro 身份认证
身份认证是判断一个用户是否为合法用户的过程。最常用的认证方式是系统核对用户输入的用户名和密码,查看是否与系统存储的用户名和密码匹配,来判断用户身份的正确性。除了使用文本密码,还可以使用用户的生物学特征(如:指纹、面部特征)作为认证凭证。
下面一个小节,我将编写第一个 Shiro 程序,演示用户登录流程。
第一个Shiro程序
Java 中使用 Shiro 执行身份认证的过程可以分解为如下步骤:
- 收集 Subject 的 principals(账户) 和 credentials(密码);
- 提交 principals 和 credentials 给认证系统;
- 得到认证结果:认证通过允许访问、重试认证、认证失败阻止访问。
环境配置
案例基于 Maven 构建,pom.xml 配置:
<dependencies>
<!-- https://mvnrepository.com/artifact/org.apache.shiro/shiro-core -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.10.1</version>
</dependency>
<dependency>
<groupId>commons-logging</groupId>
<artifactId>commons-logging</artifactId>
<version>1.2</version>
</dependency>
</dependencies>
项目结构:
Shiro 支持 INI 格式来构建SecurityManager
对象及其组件,在本案例中将使用[users]
小节,定义一组静态的用户账户。
[users]
wzz = 123456abc
zyy = 87667
Main 的完整代码如下,我将分块分析这部分代码:
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class Main {
public static void main(String[] args) {
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
UsernamePasswordToken wzzToken = new UsernamePasswordToken("wzz", "123456abc"); // 密码正确
wzzToken.setRememberMe(true);
UsernamePasswordToken zyyToken = new UsernamePasswordToken("zyy", "1111"); // 密码错误
Subject subject = SecurityUtils.getSubject();
try {
subject.login(wzzToken);
System.out.println("wzz 身份验证成功");
} catch (AuthenticationException e) {
System.out.println("wzz 身份认证失败");
} finally {
subject.logout();
}
try {
subject.login(zyyToken);
System.out.println("wzz 身份验证成功");
} catch (AuthenticationException e) {
System.out.println("zyy 身份认证失败");
}finally {
subject.logout();
}
}
}
Step 0:依据 INI 配置构建 SecurityManager
Shiro 支持 INI 格式来构建SecurityManager
对象及其支持组件。INI 易于阅读,易于配置,易于设置,非常适合大多数应用程序。INI 配置文件可以从文件系统、类路径或 url 中获取,前缀分别为file:
、classpath:
或url:
。
案例中 INI 配置文件位于 resources 目录下,即从类路径加载,通过IniSecurityManagerFactory
实例可以根据配置生成SecurityManager
实例,通过SecurityUtils.setSecurityManager
注册为全局安全管理器。
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.util.Factory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.config.IniSecurityManagerFactory;
...
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
Step1:收集用户身份和凭证
UsernamePasswordToken wzzToken = new UsernamePasswordToken("wzz", "123456abc");
wzzToken.setRememberMe(true);
UsernamePasswordToken
是最常用的身份认证 token,使用该 token 可以绑定用户名和密码。用户密码可以通过多种方式传递给应用(例如:web 表单、HTTP 头、命令行)。在Shiro中,如何获取它们并不重要——它与协议无关。setRememberMe()
:使应用在用户返回后能记住用户身份。
Step2:提交身份、凭证给认证系统
收集了用户提交的 token 中的信息,并设置记住用户身份后,下一步是将 token 交给认证系统。在 Shiro 中,Realm
组件负责:
- 查询存储在持久层(如:数据库)中的账户信息;
- 与提交的 token 中的 principal 和 credential 相互比较;
换句话来说,Realm
实例就是 Shiro 中用于安全领域针对特定数据源的数据访问对象(DAO)。
Subject subject = SecurityUtils.getSubject(); // (1)
try {
subject.login(wzzToken); //(2)
System.out.println("wzz 身份验证成功");
} catch (AuthenticationException e) { // (3)
System.out.println("wzz 身份认证失败");
} finally {
subject.logout(); // (3)
}
标记(1):获取当前执行线程的主题(Subject),在 Shiro 中每个执行线程均有一个Subject
实例,使用SecurityUtils.getSubject()
可获取。该实例表示与系统交互的当前用户是谁,在登录前,subject 是匿名的,没有任何与它相关的身份数据。
标记(2):有了Subject
实例作为用户身份数据的表示后,调用Subject#login
方法,提交 Step1 构造的令牌 wzzToken,进行身份验证。
如果login()
方法调用成功,用户成功登录并与一个账户或身份相关联。从此开始,用户可以使用该应用,并在会话期间或更长时间内保持身份(因为设置了Remember Me)。
标记(3):当用户使用完应用程序后,调用logout()
执行注销操作,注销操作将关闭用户会话,并从 subject 实例中移除任何相关的身份信息。
多Realm认证序列
很多情况下,SecurityManager 管理了不止一个 Realm 实例,这引出了如下问题:
- 身份认证时,管理器会以什么顺序编排 Realm 实例,从而将 Token 逐个提交给这些 Realm,完成与【持久层中存储的身份信息】的比对。
- subject.login(token) 的成功条件是什么?
如果只有一个 Realm,这个问题很容易回答,Realm 实例查询得到的凭证(credentials) 与提交的 Token 匹配,登录操作成功。
如果存在多个 Realm,根据上述标准,可能出现如下场景:全部 Realm 的认证尝试均成功、部分 Realm 认证成功而剩余的 Realm 认证录失败、所有 Realm 认证尝试均失败。
由此,我们引出 身份认证策略 AuthenticationStrategy 这一概念,根据用户指定的认证策略,安全管理器才能确定登录操作是否成功。
Shiro 身份认证流程
Shiro 与身份认证的流程分为五个步骤,涉及的相关组件如下:
步骤1:应用程序传入AuthenticationToken
代表最终用户主体(principal)和凭证(credential)的构造实例。
步骤2:Subject
实例(通常为DelegatingSubject
实例)login方法调用SecurityManager#login
,开始实际的身份验证工作。
步骤3:SecurityManager
将认证工作委托给内部实例authenticator.authenticate(token)
,authenticator 总是为ModularRealmAuthenticator
实例,它支持将账户查询委派给Realm集合。
步骤4:如果应用中配置了不止1个Realm
,ModularRealmAuthenticator
实例将根据其配置的AuthenticationStrategy
,使用多个Realm尝试进行身份认证。在调用 Realms 进行身份认证之前、期间和之后, AuthenticationStrategy
将用于对 Realm 查询的结果作出反应。
步骤5:认证过程中,会通过Realm#supports
方法判断,Realm 是否支持提交的AuthenticationToken
实例。如果当前Realm 支持该令牌类型,Realm#getAuthenticationInfo
方法将被调用。
为了印证上述描述并加深理解,下面展示并解说ModularRealmAuthenticator#doMultiRealmAuthentication
方法:
protected AuthenticationInfo doMultiRealmAuthentication(Collection<Realm> realms, AuthenticationToken token) { // (1)
AuthenticationStrategy strategy = getAuthenticationStrategy(); // 获取认证策略
AuthenticationInfo aggregate = strategy.beforeAllAttempts(realms, token); // (2)
for (Realm realm : realms) {
try {
aggregate = strategy.beforeAttempt(realm, token, aggregate); // (3)
} catch (ShortCircuitIterationException shortCircuitSignal) {
// Break from continuing with subsequnet realms on receiving
// short circuit signal from strategy
break;
}
if (realm.supports(token)) { // (4)
AuthenticationInfo info = null;
Throwable t = null;
try {
info = realm.getAuthenticationInfo(token); // (5)
} catch (Throwable throwable) {
t = throwable;
}
aggregate = strategy.afterAttempt(realm, token, info, aggregate, t); // (6)
}
}
aggregate = strategy.afterAllAttempts(token, aggregate); // (7)
return aggregate;
}
注释(1):入参 realms 为应用配置的Realm
实例集合,token 一般为用户登录的 id 和密码 (或令牌);
注释(2)、(3)、(6)、(7):AuthenticationStrategy
提供的扩展点,用于在使用 Realm 集合中的实例查询账户信息的各个阶段,处理 Realm 返回结果。(分别是:开始身份认证前[2]、特定的Realm查询前[3]、特定的Realm实例查询完成后[6]、完成身份认证后[7] )。下面我以AtLeastOneSuccessfulStrategy
为例,简略介绍四个扩展点的实现:
beforeAllAttempts
:实例化SimpleAuthenticationInfo
并返回。beforeAttempt
:直接返回 aggregate,不做处理。afterAttempt
:如果聚合的认证信息 aggregateInfo 为空,初始化为 singleRealmInfo;如果非空,使用MergableAuthenticationInfo#merge
合并多个Realm实例返回的认证信息。
afterAllAttempts
:如果 aggregate 中至少包含一个账户(principal)信息,则返回 aggregate;否则,抛出AuthenticationException。这里可以看出,该认证策略要求用户提交的 Token 至少要在一个 Realm 实例通过认证,才能认定登录操作成功。
注释(4):supports
方法判断 token 是否为Realm
实例支持的类型。本质是调用应用实现的getAuthenticationTokenClass()
方法。
public boolean supports(AuthenticationToken token) {
return token != null && getAuthenticationTokenClass().isAssignableFrom(token.getClass());
}
注释(5):调用Realm#getAuthenticationInfo
查询身份认证信息,并与提交的 Token 匹配,返回值为AuthenticationInfo
类型。
AuthenticationStrategy
当为应用程序配置两个以上 Realm 时,ModularRealmAuthenticator
依赖内部的AuthenticationStrategy
组件来确定身份验证尝试成功或失败的条件。
AuthenticationStrategy
组件是无状态的,在身份认证过程中,会在如下四个阶段被使用:
- 在调用任何 Realm 之前;
- 在调用单个 Realm 的 getAuthenticationInfo 方法之前;
- 在调用单个 Realm 的 getAuthenticationInfo 方法之后立即调用;
- 在调用了所有 Realm 之后;
另外,AuthenticationStrategy
负责聚合来自每个成功Realm
的结果,并将它们合并到单个AuthenticationInfo
实例中。这个最终的聚合 AuthenticationInfo 实例是由 Authenticator 实例返回的,Shiro 最终用它表示 Subject 实例的身份信息。
Shiro有 3 个具体的AuthenticationStrategy
实现:
AtLeastOneSuccessfulStrategy
:如果至少一个 Realm 认证成功,总体的尝试被认为是成功的。如果没有任何 Realm 认证成功,尝试失败。FirstSuccessfulStrategy
:只有从第一个成功验证的 Realm 返回的信息才会被使用。所有其他领域都将被忽略。如果没有认证成功,则尝试失败。AllSuccessfulStrategy
:所有配置的 Realm 必须通过身份验证才能被认为是成功的。如果任何一个身份验证不成功,则尝试失败。
ModularRealmAuthenticator
默认使用AtLeastOneSuccessfulStrategy
策略:
如果要更换为FirstSuccessfulStrategy
策略,可在 shiro.ini 中进行如下配置:
[main]
authStrategy = org.apache.shiro.authc.pam.FirstSuccessfulStrategy
securityManager.authenticator.authenticationStrategy = $authStrategy
配置Realms认证策略
当执行身份验证尝试时,ModularRealmAuthenticator
将迭代遍历Collection<Realm>
,对于支持提交的 AuthenticationToken 的每个 Realm,调用 Realm#getAuthenticationInfo 方法。
应用程序可以通过 shiro.ini 配置 Realm 执行的顺序:
- 隐式顺序:Realm 实例将按照 ini 文件中定义的顺序被调用。
blahRealm = com.company.blah.Realm
...
fooRealm = com.company.foo.Realm
...
barRealm = com.company.another.Realm
SecurityManager
按照如下顺序blahRealm->fooRealm->barRealm
调用 Realm 实例尝试身份认证。
- 显式顺序:设置 SecurityManager 实例的 realms 属性,显式指定 Realm 实例调用顺序。
blahRealm = com.company.blah.Realm
...
fooRealm = com.company.foo.Realm
...
barRealm = com.company.another.Realm
securityManager.realms = $fooRealm, $blahRealm, $barRealm
本例中,Realm 调用顺序为:fooRealm-->blahRealm-->barRealm
,这与声明的顺序无关。
Realm认证流程详解
在【Shiro 身份认证流程】小节中,我介绍了当用户提交 Token 后,Shiro 框架的整体认证流程,其中提到当 SecurityManager 配置了多个 Realm 实例时,认证器ModularRealmAuthenticator
实例会将账户查询与匹配工作分配给 Realm 集合。
校验令牌类型
这一节,我将介绍 Realm 实例收到认证器传递的账户信息后的认证流程,在此之前先让大家看一个异常:
java.lang.RuntimeException: org.apache.shiro.authc.pam.UnsupportedTokenException: Realm [cn.wzz.gateway.authorization.GatewayAuthorizingRealm@6b09bb57] does not support authentication token [cn.wzz.gateway.authorization.GatewayAuthorizingToken@6536e911].
Please ensure that the appropriate Realm implementation is configured correctly or that the realm accepts AuthenticationTokens of this type.
注意到异常描述Realm does not support authentication token[GatewayAuthorizingToken]
,这个异常出现的原因为 GatewayAuthorizingToken 类型不被当前配置的 GatewayAuthorizingRealm 支持。
在使用 Realm 实例尝试身份认证前,它的 supports 方法会被调用,只有当 supports 返回true时,realm.getAuthenticationInfo(token)
方法才会调用。
Realm 会使用 supports 检查提交的 token 的类型,判断是否能处理该类型的令牌。如果某个 Realm 实例用于认证生物特征信息(指纹、刷脸等),它很可能不能理解UsernamePasswordToken(用户名+密码),这种情况下会返回false。
解决措施:
方案一:在GatewayAuthorizingRealm
中重写 supports 方法,supports方法用于检验当前 Realm 是否能处理某个类型的 token 实例。
方案二:重写getAuthenticationTokenClass()
方法,配置该 Realm 处理的令牌类型。
给大家的福利
零基础入门
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
同时每个成长路线对应的板块都有配套的视频提供:
因篇幅有限,仅展示部分资料
网络安全面试题
绿盟护网行动
还有大家最喜欢的黑客技术
网络安全源码合集+工具包
所有资料共282G,朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》,可以扫描下方二维码领取(如遇扫码问题,可以在评论区留言领取哦)~
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!