简介 :
Apache Shiro是Java的一个安全框架。目前,使用Apache Shiro的人越来越多,因为它相当简单,对比Spring Security,可能没有Spring Security做的功能强大,但是在实际工作时可能并不需要那么复杂的东西,所以使用小而简单的Shiro就足够了。对于它俩到底哪个好,这个不必纠结,能更简单的解决项目问题就好了。
Shiro可以非常容易的开发出足够好的应用,其不仅可以用在JavaSE环境,也可以用在JavaEE环境。Shiro可以帮助我们完成:认证、授权、加密、会话管理、与Web集成、缓存等。这不就是我们想要的嘛,而且Shiro的API也是非常简单;其基本功能点如如下图所示:
Authentication:身份认证/登录,验证用户是不是拥有相应的身份;
Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限(就是CRUD);即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限;
Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通JavaSE环境的,也可以是如Web环境的;
Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
Web Support:Web支持,可以非常容易的集成到Web环境;
Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可以提高效率;
Concurrency:shiro支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去;
Testing:提供测试支持;
Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了。
记住一点,Shiro不会去维护用户、维护权限;这些需要我们自己去设计/提供;然后通过相应的接口注入给Shiro即可。
内部架构为:
Subject:主体,可以看到主体可以是任何可以与应用交互的“用户”;
SecurityManager:相当于SpringMVC中的DispatcherServlet或者Struts2中的FilterDispatcher;是Shiro的心脏;所有具体的交互都通过SecurityManager进行控制;它管理着所有Subject、且负责进行认证和授权、及会话、缓存的管理。
Authenticator:认证器,负责主体认证的,这是一个扩展点,如果用户觉得Shiro默认的不好,可以自定义实现;其需要认证策略(Authentication Strategy),即什么情况下算用户认证通过了;
Authrizer:授权器,或者访问控制器,用来决定主体是否有权限进行相应的操作;即控制着用户能访问应用中的哪些功能;
Realm:可以有1个或多个Realm,可以认为是安全实体数据源,即用于获取安全实体的;可以是JDBC实现,也可以是LDAP实现,或者内存实现等等;由用户提供;注意:Shiro不知道你的用户/权限存储在哪及以何种格式存储;所以我们一般在应用中都需要实现自己的Realm;
SessionManager:如果写过Servlet就应该知道Session的概念,Session呢需要有人去管理它的生命周期,这个组件就是SessionManager;而Shiro并不仅仅可以用在Web环境,也可以用在如普通的JavaSE环境、EJB等环境;所有呢,Shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据;这样的话,比如我们在Web环境用,刚开始是一台Web服务器;接着又上了台EJB服务器;这时想把两台服务器的会话数据放到一个地方,这个时候就可以实现自己的分布式会话(如把数据放到Memcached服务器);
SessionDAO:DAO大家都用过,数据访问对象,用于会话的CRUD,比如我们想把Session保存到数据库,那么可以实现自己的SessionDAO,通过如JDBC写到数据库;比如想把Session放到Memcached中,可以实现自己的Memcached SessionDAO;另外SessionDAO中可以使用Cache进行缓存,以提高性能;
CacheManager:缓存控制器,来管理如用户、角色、权限等的缓存的;因为这些数据基本上很少去改变,放到缓存中后可以提高访问的性能
Cryptography:密码模块,Shiro提高了一些常见的加密组件用于如密码加密/解密的。
入门演示(一):
No.1首先是在pom.xml文件中引入依赖 :
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
<modelVersion>4.0.0</modelVersion>
<groupId>com.zzx</groupId>
<artifactId>MavenJavaWeb</artifactId>
<version>1.0-SNAPSHOT</version>
<packaging>war</packaging>
<dependencies>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-simple</artifactId>
<version>1.7.21</version>
</dependency>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>jcl-over-slf4j</artifactId>
<version>1.7.21</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.2.2</version>
</dependency>
</dependencies>
</project>
No.2在resources下创建shiro.ini文件:
[users]
zhangsan=123456
admin=123456
No.3创建一个类来测试:
package com.zzx.shiro;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
/**
* @auther ZhengZiXuan
* @date 2021/3/25 10:11
* @desc
*/
public class HelloShiro {
public static void main(String[] args) {
//通过配置获得工厂
IniSecurityManagerFactory securityManagerFactory =
new IniSecurityManagerFactory("classpath:shiro.ini");
//从工厂里面获取SecurityManager
SecurityManager instance = securityManagerFactory.getInstance();
//将SecurityManager设置为全局属性
SecurityUtils.setSecurityManager(instance);
//创建Subject,ini文件里面的
Subject subject = SecurityUtils.getSubject();
//模拟登陆,输入用户名密码(此处的username与password的值对应着shiro.ini中的值,如果一致则显示登录成功,若不一致则显示登录失败)
String username = "admin";
String password = "123456";
//将用户名,密码封装成令牌
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
/**
* 如果token和ini文件里面的账号密码匹配,不报错,如果不匹配,会产生异常
* 用户名错误:
* org.apache.shiro.authc.UnknownAccountException
* 密码错误:
* org.apache.shiro.authc.IncorrectCredentialsException
* 没有报错就是成功
* 如果用户名获得密码错误等问题导致登录失败,全部以抛出的形式展现
*/
try {
subject.login(token);
System.out.println("登录成功");
} catch (UnknownAccountException e) {//这是认证异常
System.out.println("用户名不存在");
e.printStackTrace();
}catch (IncorrectCredentialsException e){
System.out.println("密码错误");
e.printStackTrace();
}
}
}
运行的结果如下:
入门演示(二) :
No.1 在pom.xml导入的依赖和上面一致;
No.2 创建realm包,并在包下创建MyAuthenRealm:
package com.zzx.realm;
import org.apache.shiro.authc.*;
import org.apache.shiro.realm.AuthenticatingRealm;
/**
* @author ZhengZiXuan
* @date 2021/3/25
* @desc 演示从数据库查询数据,进行[认证]操作
* 从数据库查询信息,进行比对用户
* 确定是登录成功
*/
public class MyAuthenRealm extends AuthenticatingRealm{
/**
* 认证
* @param token 当subject.login(token) --> login方法的token赋值给
* doGetAuthenticationInfo(token)
* @return 如果登录成功,返回认证信息
* @throws AuthenticationException 认证异常,如果登录信息有误,自行抛出异常
*/
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException {
// 从token获得用户名和密码
String principal = (String) token.getPrincipal( ); // 获得身份-用户名
char[] credentials = (char[]) token.getCredentials( );
String password = String.valueOf(credentials);
// 凭证会自动变成:字符数组
System.out.println("凭证 - "+credentials );
// 通过用户名密码查数据库
// User user = service.findUserByName(principal);
// if(user == null) {
// // 用户名不存在
// }else{
// if (!user.getPassword().equals(credentials)) {
// // 密码错误
// } else{
// // 成功
// }
// }
// 通过查询数据库得到的数据与登录时输入的比对
if (!"admin".equals(principal)) {
// 如果不成功,抛出AuthenticationException
throw new UnknownAccountException();
} else {
if (!"123456".equals(password)) {
// 如果不成功,抛出AuthenticationException
throw new IncorrectCredentialsException();
}
}
// 如果成功,就封装数据到AuthenticationInfo 返回
/**
* info中封装的数据
* 1 身份
* 2 凭证
* 3 当前realmName
*/
System.out.println(getName() );
return new SimpleAuthenticationInfo(principal,credentials,getName());
}
}
No.3 在resources下创建shiro-authen.ini文件:
#声明一个 realm
myAuthenRealm=com.zzx.realm.MyAuthenRealm
#指定 securityManager 的 realms 实现
securityManager.realms=$myAuthenRealm
No.4 创建一个类来测试:
package com.zzx.shiro;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
/**
* @author ZhengZiXuan
* @date 2021/3/25
* @desc 使用自定义Realm完成认证
* 1 项目启动
2 输入用户密码, 制作token
3 登录,调用subject.login(token)
4 第三步的login方法就会调用自定义Realm类中的doGetAuthenticationInfo(token),并且将token传递,
5 从token获得用户名密码,查数据库
6 比对,如果成功,返回info信息
7 如果不成功,抛出异常,抛给login方法
8 login方法捕获异常,根据异常信息提示不同的错误信息
*/
public class AuthenShiro {
public static void main(String[] args) {
IniSecurityManagerFactory securityManagerFactory =
new IniSecurityManagerFactory("classpath:shiro-authen.ini");
SecurityManager securityManager = securityManagerFactory.getInstance( );
SecurityUtils.setSecurityManager(securityManager);
// 从SecurityUtils中获得主体
Subject subject = SecurityUtils.getSubject( );
// 模拟登录,输入用户名密码
String username = "admin";
String password = "123456";
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
/**
* 没有报错就是成功
* 如果用户名或密码错误等问题导致登录失败,全都以抛出的形式展现
*/
try {
subject.login(token);
System.out.println("登录成功" );
} catch (UnknownAccountException e) {
System.out.println("用户名不存在" );
} catch (IncorrectCredentialsException e){
System.out.println("密码错误" );
}
}
}
控制台运行的结果如下:
入门演示(三):
No.1 在pom.xml导入的依赖和上面一致;
No.2 创建realm包,并在包下创建MyAuthorRealm:
package com.zzx.realm;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import java.util.HashSet;
import java.util.Set;
/**
* @auther ZhengZiXuan
* @date 2021/3/25 16:17
* @desc
*/
public class MyAuthorRealm extends AuthorizingRealm {
/**
* 授权
* @param principals 身份信息集合
* @return AuthorizationInfo 返回当前用户的角色与权限信息
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
//1.获得身份
String principal =(String) principals.getPrimaryPrincipal();
//2.根据身份(账号)查角色,
//Set<String> roles = service.findByRolesUsername(principal);
Set<String> roles = new HashSet<>();
roles.add("role1");
roles.add("role2");
//3.再根据角色查权限
//Set<String> permissions = new HashSet<>();
//for (String role : roles) {
// permissions.addAll()
// }
Set<String> permissions = new HashSet<>();
permissions.add("/select");
permissions.add("/add");
permissions.add("/delete");
permissions.add("/update");
//4.将角色,权限封装进info对象
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.addRoles(roles);
info.addStringPermissions(permissions);
return info;
}
/**
* 认证
* @param token 当subject.login(token)----->Login方法的token赋值给
* doGetAuthenticationInfo(token)
* @return 如果登录成功,返回认证信息
* @throws AuthenticationException 认证异常,如果登录信息有误,自行抛出异常
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//从token中获得用户名与密码
String principal =(String) token.getPrincipal(); //获得身份-用户名
char[] credentials =(char[]) token.getCredentials();
//凭证会自动编程:字符数组
System.out.println("凭证 - "+ credentials);
//通过用户名和密码查询数据库
//通过查询数据库得到的数据与登录时输入的信息对比
if (!"admin".equals(principal)){
//如果失败,抛出AuthenticationException
throw new UnknownAccountException();
}else {
if ("123456".equals(credentials)){
//如果失败,IncorrectCredentialsException
throw new IncorrectCredentialsException();
}
}
//如果成功,就封装成AuthenticationInfo返回
/**
* info中封装的数据
* 1.身份
* 2.凭证
* 3.当前realmName
*/
System.out.println(getName());
return new SimpleAuthenticationInfo(principal,credentials,getName());
}
}
No.3 在resources下创建shiro-author.ini文件:
ps:users中是用户的账号密码,roles是权限,然后在将roles中的权限赋值给users
[users]
admin=123456,role1,role2
zhangsan=123456,role2
[roles]
role1=/select,/add,/delete,/update
role2=/select
No.4:创建一个类来测试:
package com.zzx.shiro;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import java.util.ArrayList;
/**
* @auther ZhengZiXuan
* @date 2021/3/25 10:11
* @desc 使用ini配置文件完成授权
*/
public class AuthorShiro {
public static void main(String[] args) {
//通过配置获得工厂
IniSecurityManagerFactory securityManagerFactory =
new IniSecurityManagerFactory("classpath:shiro-author.ini");
//通过工厂获得安全管理器
SecurityManager instance = securityManagerFactory.getInstance();
SecurityUtils.setSecurityManager(instance);
//从SecurityUtils中获得主体
Subject subject = SecurityUtils.getSubject();
//模拟登陆,输入用户名密码
String username = "zhangsan";
String password = "123456";
//将用户名,密码封装成令牌
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
//登录
try {
subject.login(token);
System.out.println("登录成功");
} catch (UnknownAccountException e) {//这是认证异常
System.out.println("用户名不存在");
e.printStackTrace();
}catch (IncorrectCredentialsException e){
System.out.println("密码错误");
e.printStackTrace();
}
//判断角色和权限
//1.是否拥有角色和权限
boolean role1 = subject.hasRole("role1");
System.out.println("role1="+role1);
ArrayList list = new ArrayList<>();
list.add("role1");
list.add("role2");
boolean[] booleans = subject.hasRoles(list);
boolean b = subject.hasAllRoles(list);
//2.是否拥有某个权限
boolean permitted = subject.isPermitted("/select"); //使用debug运行结果为true
boolean[] permitted1 = subject.isPermitted("/select", "/add"); //结果为 true false
boolean permittedAll = subject.isPermittedAll("/select", "/add"); //结果为false,因为此方法只有查询的权限,没有添加的权限,若有一个为false,则返回false
}
}
控制台运行结果为:
入门演示(四) :
No.1 在pom.xml导入的依赖和上面一致;
No.2 创建realm包,并在包下创建MyAuthorRealm:
package com.zzx.realm;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import java.util.HashSet;
import java.util.Set;
/**
* @auther ZhengZiXuan
* @date 2021/3/25 16:17
* @desc
*/
public class MyAuthorRealm extends AuthorizingRealm {
/**
* 授权
* @param principals 身份信息集合
* @return AuthorizationInfo 返回当前用户的角色与权限信息
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
//1.获得身份
String principal =(String) principals.getPrimaryPrincipal();
//2.根据身份(账号)查角色,
//Set<String> roles = service.findByRolesUsername(principal);
Set<String> roles = new HashSet<>();
roles.add("role1");
roles.add("role2");
//3.再根据角色查权限
//Set<String> permissions = new HashSet<>();
//for (String role : roles) {
// permissions.addAll()
// }
Set<String> permissions = new HashSet<>();
permissions.add("/select");
permissions.add("/add");
permissions.add("/delete");
permissions.add("/update");
//4.将角色,权限封装进info对象
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.addRoles(roles);
info.addStringPermissions(permissions);
return info;
}
/**
* 认证
* @param token 当subject.login(token)----->Login方法的token赋值给
* doGetAuthenticationInfo(token)
* @return 如果登录成功,返回认证信息
* @throws AuthenticationException 认证异常,如果登录信息有误,自行抛出异常
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//从token中获得用户名与密码
String principal =(String) token.getPrincipal(); //获得身份-用户名
char[] credentials =(char[]) token.getCredentials();
//凭证会自动编程:字符数组
System.out.println("凭证 - "+ credentials);
//通过用户名和密码查询数据库
//通过查询数据库得到的数据与登录时输入的信息对比
if (!"admin".equals(principal)){
//如果失败,抛出AuthenticationException
throw new UnknownAccountException();
}else {
if ("123456".equals(credentials)){
//如果失败,IncorrectCredentialsException
throw new IncorrectCredentialsException();
}
}
//如果成功,就封装成AuthenticationInfo返回
/**
* info中封装的数据
* 1.身份
* 2.凭证
* 3.当前realmName
*/
System.out.println(getName());
return new SimpleAuthenticationInfo(principal,credentials,getName());
}
}
No.3 在resources下创建shiro-author-realm.ini文件:
#声明一个 realm
myAuthorRealm=com.zzx.realm.MyAuthorRealm
#指定 securityManager 的 realms 实现
securityManager.realms=$myAuthorRealm
No.4:创建一个类来测试:
package com.zzx.shiro;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import java.util.ArrayList;
/**
* @auther ZhengZiXuan
* @date 2021/3/25 10:11
* @desc 使用自定义完成授权
*/
public class AuthorRealmShiro {
public static void main(String[] args) {
//通过配置获得工厂
IniSecurityManagerFactory securityManagerFactory =
new IniSecurityManagerFactory("classpath:shiro-author-realm.ini");
//通过工厂获得安全管理器
SecurityManager instance = securityManagerFactory.getInstance();
SecurityUtils.setSecurityManager(instance);
//从SecurityUtils中获得主体
Subject subject = SecurityUtils.getSubject();
//模拟登陆,输入用户名密码
String username = "admin";
String password = "123456";
//将用户名,密码封装成令牌
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
//登录
try {
subject.login(token);
System.out.println("登录成功");
} catch (UnknownAccountException e) {//这是认证异常
System.out.println("用户名不存在");
e.printStackTrace();
}catch (IncorrectCredentialsException e){
System.out.println("密码错误");
e.printStackTrace();
}
//判断角色和权限
//1.是否拥有角色和权限
boolean role1 = subject.hasRole("role1");
System.out.println("role1="+role1);
ArrayList list = new ArrayList<>();
list.add("role1");
list.add("role2");
boolean[] booleans = subject.hasRoles(list);
boolean b = subject.hasAllRoles(list);
//2.是否拥有某个权限
boolean permitted = subject.isPermitted("/select"); //使用debug运行结果为true
boolean[] permitted1 = subject.isPermitted("/select", "/add"); //结果为 true false
boolean permittedAll = subject.isPermittedAll("/select", "/add"); //结果为false
}
}
控制台运行的结果为: