Shiro权限认证

最新推荐文章于 2024-07-08 16:55:04 发布

钟艾伶

最新推荐文章于 2024-07-08 16:55:04 发布

阅读量6.4k

点赞数

文章标签： shiro shiro框架身份认证域

本文链接：https://blog.csdn.net/Daybreak1209/article/details/51193204

版权

一、权限认证核心要素

权限认证顾名思义，就是在应用系统中，控制谁能访问哪些资源。核心要素有仨：权限、角色、用户

权限：即操作资源的权利，如访问某个url，对某个模块数据进行增删改查

角色：权限的集合，一种角色可以包含多种权限。例如操作员角色可查看系统账单、进行结账操作多种权限。

用户：也就是身份认证中提到的subject一角。

二、授权

shiro授权的方式通常有三种：

1、编程式授权：在代码中进行授权操作，可基于角色和权限两种方式。

2、注解式授权：使用注解对方法或类进行授权，标注该类可被哪些权限、角色所使用。

3、Jsp标签授权：shiro比较灵活的地方笔者觉得就是jsp标签授权，通过shiro的guest、user、principal等标签，可通过访问权限的不同，控制页面信息显示。免去了一大部分后台处理逻辑。好方便，好好用。后面会有详细介绍。

三、编程式授权实例

1、同样首先创建ini文件

[users]
java1234=123456,role1,role2
jack=123,role1

这是一个通过角色授权的方式，具体含义是指：用户名为java1234的用户享有role1，role2角色的权利，jack用户享有role1的权利。

2、java代码通过hasRole 和checkRole的方法可判断某用户是否具有role1、role2角色权利。

这里首先将一些shiro初始化、预处理的操作封装成一个util类

public class ShiroUtil {
	public static Subject login(String configFile,String userName,String password){
		// 读取配置文件，初始化SecurityManager工厂
		Factory<SecurityManager> factory=new IniSecurityManagerFactory(configFile);
		// 获取securityManager实例
		SecurityManager securityManager=factory.getInstance();
		// 把securityManager实例绑定到SecurityUtils
		SecurityUtils.setSecurityManager(securityManager);
		// 得到当前执行的用户
		Subject currentUser=SecurityUtils.getSubject();
		// 创建token令牌，用户名/密码
		UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
		try{
			// 身份认证
			currentUser.login(token);	
			System.out.println("身份认证成功！");
		}catch(AuthenticationException e){
			e.printStackTrace();
			System.out.println("身份认证失败！");
		}
		return currentUser;
	}
}

新建roleTest类，通过调用user的hasRole、checkRole方法判断用户权限。

public class RoleTest {

	@Test
	public void testHasRole() {
		Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "java1234", "123456");
		// Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "jack", "123");
		System.out.println(currentUser.hasRole("role1")?"有role1这个角色":"没有role1这个角色");
		boolean []results=currentUser.hasRoles(Arrays.asList("role1","role2","role3"));
		System.out.println(results[0]?"有role1这个角色":"没有role1这个角色");
		System.out.println(results[1]?"有role2这个角色":"没有role2这个角色");
		System.out.println(results[2]?"有role3这个角色":"没有role3这个角色");
		System.out.println(currentUser.hasAllRoles(Arrays.asList("role1","role2"))?"role1,role2这两个角色都有":"role1,role2这个两个角色不全有");
		
		currentUser.logout();
	}

	@Test
	public void testCheckRole() {
		Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "java1234", "123456");
		// Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "jack", "123");
		currentUser.checkRole("role1");
		currentUser.checkRoles(Arrays.asList("role1","role2"));
		currentUser.checkRoles("role1","role2","role3");
		
		currentUser.logout();
	}
}

通过权限permission的权限验证方式如下：

[users]
java1234=123456,role1,role2
jack=123,role1
[roles]
role1=user:select
role2=user:add,user:update,user:delete

这里就补充了role1、role2用户具体具有哪些操作权，role1可进行select操作，同理，role2可进行增删改操作。同样调用user关于permission认证的方法，可对用户具体操作权限进行认证。

public class PermissionTest {

	@Test
	public void testIsPermitted() {
		Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "java1234", "123456");
		// Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "jack", "123");
		System.out.println(currentUser.isPermitted("user:select")?"有user:select这个权限":"没有user:select这个权限");
		System.out.println(currentUser.isPermitted("user:update")?"有user:update这个权限":"没有user:update这个权限");
		boolean results[]=currentUser.isPermitted("user:select","user:update","user:delete");
		System.out.println(results[0]?"有user:select这个权限":"没有user:select这个权限");
		System.out.println(results[1]?"有user:update这个权限":"没有user:update这个权限");
		System.out.println(results[2]?"有user:delete这个权限":"没有user:delete这个权限");
		System.out.println(currentUser.isPermittedAll("user:select","user:update")?"有user:select,update这两个权限":"user:select,update这两个权限不全有");
		
		currentUser.logout();
	}

	@Test
	public void testCheckPermitted() {
		Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "java1234", "123456");
		// Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "jack", "123");
		currentUser.checkPermission("user:select");
		currentUser.checkPermissions("user:select","user:update","user:delete");
		currentUser.logout();
	}
}

四、shiro与web集成进行权限认证

下面介绍在java web程序中使用 Shiro进行权限认证。

首先也是添加shiro相关jar包：shiro-web、shiro-core；commons-logging、slf4j-api、log4j；jstl、javax.servlet.jsp-api、javax.servlet-api
在web.XML中添加shiroFilter过滤器，并初始化创建的shiro.ini配置文件。

  <listener>
	    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  </listener>
   
	<!-- 添加shiro支持 -->
	<filter>
	    <filter-name>ShiroFilter</filter-name>
	    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
	</filter>
	
	<filter-mapping>
	    <filter-name>ShiroFilter</filter-name>
	    <url-pattern>/*</url-pattern>
	</filter-mapping>
	<!--省略loginServlet 和adminServlet配置ps.login 针对所有的/login请求，admin针对/admin-->

shiro.ini文件

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized.jsp
perms.unauthorizedUrl=/unauthorized.jsp
[users]
java1234=123456,admin
jack=123,teacher
marry=234
json=345
[roles]
admin=user:*
teacher=student:*
[urls]
/login=anon
/admin=authc
/student=roles[teacher]
/teacher=perms["user:create"]

3.创建login和adminservlet，分别用于直接登陆转发到login.jsp,和admin登录进行身份验证，转发到succeess.jsp和error.jsp

public class LoginServlet extends HttpServlet{
	private static final long serialVersionUID = 1L;
	@Override
	protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		System.out.println("login doget");
		req.getRequestDispatcher("login.jsp").forward(req, resp);
	}
	@Override
	protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
		System.out.println("login dopost");
		String userName=req.getParameter("userName");
		String password=req.getParameter("password");
		Subject subject=SecurityUtils.getSubject();
		UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
		try{
			subject.login(token);	
			resp.sendRedirect("success.jsp");
		}catch(Exception e){
			e.printStackTrace();
			req.setAttribute("errorInfo", "用户名或者密码错误");
			req.getRequestDispatcher("login.jsp").forward(req, resp);
		}
	}
}

4.配置数据源-这里介绍两种reaml：Text Reaml和自定义JDBC reaml 。

Text Reaml 配置详情与访问流程

text Reaml配置整合到Shiro.ini文件中，具体配置了四个用户，java1234拥有admin角色权限，jack拥有teacher角色权限；角色admin可对user进行任意crud操作，teacher可对student进行crud操作；访问的urls，请求/login地址时，这里的anon是指游客身份，不需要进行任何身份认证；请求/admin地址时，需要进行身份认证，进行filter过滤后，跳转到【main】中进行了配置为/login (jsp页面），同样，role和perms的权限认证页设置为unauthorized.jsp；

上面ini配置达到的效果就是：当请求访问localhost:8080/shiro/login 时直接跳到hello页面，无需进行身份验证。当访问localhost:8080/shiro/admin时，先转发到login.jps进行身份验证，进入adminServlet，验证结束后转发到error或succeess页面。再次访问admin地址时，由于第一次访问记录了用户登录信息，故无需在登陆直接跳转到success页面。而访问localhost:8080/shiro/student时，login信息如果使用json（没有任何角色权限的用户），则因为该用户权限不足（因为配置中访问student需要teacher角色）直接跳转到无权限访问页面。这就是使用 textReaml进行身份验证和权限验证的配置。

自定义 JDBC Reaml的配置与访问流程

由于text Reaml的信息毕竟有限，配置也相对比较麻烦，所以一般应用程序使用的都是自定义reaml，此处创建一个自定义JDBC readml并演示reaml与java程序结合的流程。

由于需要创建数据库（创建用户、角色、权限三张表，依次主外键关联），然后首先引入数据库驱动jar包；在shiro,ini文件中指定当前securityManager使用的验证策略是自定义jdbcReaml。

[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized.jsp
perms.unauthorizedUrl=/unauthorized.jsp
myRealm=com.java.realm.MyRealm
securityManager.realms=$myRealm
[urls]
/login=anon
/admin*=authc
/student=roles[teacher]
/teacher=perms["user:create"]

最后创建数据库连接Util类和myReaml类调用底层数据查询dao即可。

/**
 * 数据库工具类
 * @author 
 */
public class DbUtil {
	public Connection getCon() throws Exception{
		Class.forName("com.mysql.jdbc.Driver");
		Connection con=DriverManager.getConnection("jdbc:mysql://localhost:3306/db_shiro", "root", "123456");
		return con;
	}
	public void closeCon(Connection con)throws Exception{
		if(con!=null){
			con.close();
		}
	}
	public static void main(String[] args) {
		DbUtil dbUtil=new DbUtil();
		try {
			dbUtil.getCon();
			System.out.println("数据库连接成功");
		} catch (Exception e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
			System.out.println("数据库连接失败");
		}
	}
}

MyReaml类：继承shiro AuthorizingReaml类，重写身份验证和权限验证两个方法。（这里也就解释了为什么访问student地址时，并未配置需要先登录，程序却自动跳转到登录面。因为底层封装了默认请求都先进行身份认证的方法。）

public class MyRealm extends AuthorizingRealm{
	private UserDao userDao=new UserDao();
	private DbUtil dbUtil=new DbUtil();
	/**
	 * 为当前登录的用户授予角色和权限
	 */
	@Override
	protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
		String userName=(String)principals.getPrimaryPrincipal();
		SimpleAuthorizationInfo authorizationInfo=new SimpleAuthorizationInfo();
		Connection con=null;
		try{
			con=dbUtil.getCon();
			authorizationInfo.setRoles(userDao.getRoles(con,userName));
			authorizationInfo.setStringPermissions(userDao.getPermissions(con,userName));
		}catch(Exception e){
			e.printStackTrace();
		}finally{
			try {
				dbUtil.closeCon(con);
			} catch (Exception e) {
				e.printStackTrace();
			}
		}
		return authorizationInfo;
	}
	/**
	 * 验证当前登录的用户
	 */
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
		String userName=(String)token.getPrincipal();
		Connection con=null;
		try{
			con=dbUtil.getCon();
			User user=userDao.getByUserName(con, userName);
			if(user!=null){
				AuthenticationInfo authcInfo=new SimpleAuthenticationInfo(user.getUserName(),user.getPassword(),"xx");
				return authcInfo;
			}else{
				return null;
			}
		}catch(Exception e){
			e.printStackTrace();
		}finally{
			try {
				dbUtil.closeCon(con);
			} catch (Exception e) {
				// TODO Auto-generated catch block
				e.printStackTrace();
			}
		}
		return null;
	}

}

这两个方法分别封装了一个身份信息实体类AuthenticationInfo 和AuthorizetionInfo返回。

首先获取用户信息，根据用户名查询数据库中的用户、权限等其他信息验证即可。整体流程是当浏览器访问例如：localhost:8080/shiro/admin 地址时，先调用loginServlet，在执行user.login方法时，进入自定义MyReaml类，获取用户信息，进行身份验证。

钟艾伶

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
4
评论
Shiro权限认证

一、权限认证核心要素权限认证顾名思义，就是在应用系统中，控制谁能访问哪些资源。核心要素有仨：权限、角色、用户权限：即操作资源的权利，如访问某个url，对某个模块数据进行增删改查角色：权限的集合，一种角色可以包含多种权限。例如操作员角色可查看系统账单、进行结账操作多种权限。用户：也就是身份认证中提到的subject一角。二、授权shiro授权的方式通常有三种
复制链接

扫一扫