SpringBoot(40) —— Shiro实现用户认证和注销

---

1.Shiro实现用户认证

• shiro中用户的认证需要放在realm中，即请求都在config中进行过滤，但是真正的权限操作需要在realm中进行，它会将config类和realm类联动起来
• 但是前端参数的获取需要我们在controller中进行，所以我们需要在controller中写一个获取前端参数，调用shiro进行用户认证，并返回结果视图的方法

  @RequestMapping("/login")
  public String toLogin(String username, String password, Model model){
      //获取当前subject/用户对象
      Subject subject = SecurityUtils.getSubject();
      //创建用户身份令牌
      UsernamePasswordToken token = new UsernamePasswordToken(username, password);
      //使用令牌登陆
      try{
          //注意：这里没有叫我们写上shiro的Quickstart案例中的try...cathc，
          //我们可以手动的加上，因为我们需要判断登陆是否出错，从而向前端返回对应的提示信息
          subject.login(token);
          return "index";
      } catch (UnknownAccountException uae) { //未知账户异常，就是当前登陆的用户并没有注册过，在ini文件中没有这个账户的信息
          model.addAttribute("msg","你输入的账户名或密码错误");
          return "login";
      } catch (IncorrectCredentialsException ice) { //账户密码错误异常
          model.addAttribute("msg","你输入的账户名或密码错误");
          return "login";
      } catch (LockedAccountException lae) {  //登陆账户被锁定的异常，比如连续输错5次密码就把你的账户锁定
          model.addAttribute("msg","密码错误超过5次，你的账号已被冻结");
          return "login";
      }
  }
  

  注意：当账号/密码错误的时候，我没有返回具体是账号错误还是密码错误，这是为了提高安全性
• 而账号+密码判断需要去realm中的认证方法中进行

  //认证
  @Override
  protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
      System.out.println("执行了认证========>doGetAuthenticationInfo");
      //本来我们应该从数据库中查询用户名+密码出来进行对比的，但是现在为了快速测试，我们直接伪造一个用户名+密码
      String username = "root";
      String password = "123";
      //使用token获取用户传入需要认证的用户名+密码
      UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
      if (!username.equals(usernamePasswordToken.getUsername())){
          return null;
          //如果用户名和我们数据库中的用户名不一致，即没有查询到用户，就return null，
          //只要return null，就会抛出异常，这里对比的是用户名，抛出的异常就是UnknownAccountException
      }
      //密码认证shiro不允许我们自己进行，我们只能将我们设置好的密码传进去，具体的操作，大概就是shiro会拿着我们在这里设置的密码和token中传入的密码进行对比，并返回结果
      return new SimpleAuthenticationInfo("",password,"");
  }
  

• 测试
  
  
  
  
  测试成功！

---

2.Shiro实现用户注销

• 按照shiro的过滤器使用语法，注销功能只需要我们在map集合中加入一个kv键值对即可，但是我们要为对应的注销写一个a标签来发起注销请求，并将a标签的href属性设置为需要注销过滤器处理的url
• 在controller中编写一个logout处理映射方法

  @RequestMapping("/logout")
  public String logout(){
      return "redirect:/toLogin";
  }
  

• 在config中添加注销过滤器到map集合中

  filterMap.put("/logout","logout");
  

  只要请求"/logout"，就会触发shiro的注销过滤器logout
• 前端增加a标签发起注销请求

  <a th:href="@{/logout}">logout</a>
  

• 测试
  
  
  
  
  
  测试成功！