SpringBoot项目中如何集成使用 Apache Shiro ？

SpringBoot项目 集成 jeecg 框架需要使用 Shiro。

在Spring Boot项目中集成Apache Shiro进行身份验证、授权和会话管理通常涉及以下步骤：

1. 添加依赖

在你的pom.xml（Maven）或build.gradle（Gradle）文件中添加Shiro的Spring Boot Starter依赖。

对于Maven，添加以下依赖：

<dependency>  
    <groupId>org.apache.shiro</groupId>  
    <artifactId>shiro-spring-boot-web-starter</artifactId>  
    <version>YOUR_SHIRO_VERSION</version>  
</dependency>

确保替换YOUR_SHIRO_VERSION为你想使用的Shiro版本。

1. 配置Shiro

在Spring Boot应用中，通常使用Java配置类来配置Shiro。你可以通过创建一个配置类，并使用Shiro提供的注解和API来定义你的安全策略。

import org.apache.shiro.mgt.SecurityManager;  
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;  
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;  
import org.apache.shiro.realm.Realm;  
// ... 其他必要的导入  
  
@Configuration  
public class ShiroConfig {  
  
    // 配置SecurityManager  
    @Bean  
    public SecurityManager securityManager(Realm realm) {  
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();  
        securityManager.setRealm(realm);  
        // 可以添加其他配置，如CacheManager、SessionManager等  
        return securityManager;  
    }  
  
    // 配置Shiro的FilterChain  
    @Bean  
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {  
        ShiroFilterFactoryBean shiroFilter = new ShiroFilterFactoryBean();  
        shiroFilter.setSecurityManager(securityManager);  
  
        // 设置登录页面、未授权页面等  
        shiroFilter.setLoginUrl("/login");  
        shiroFilter.setUnauthorizedUrl("/unauthorized");  
  
        // 定义URL权限规则  
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();  
        filterChainDefinitionMap.put("/login", "anon"); // 匿名访问  
        filterChainDefinitionMap.put("/logout", "logout"); // 登出  
        filterChainDefinitionMap.put("/**", "authc"); // 所有其他URL都需要身份验证  
  
        shiroFilter.setFilterChainDefinitionMap(filterChainDefinitionMap);  
  
        return shiroFilter;  
    }  
  
    // 配置Realm  
    @Bean  
    public Realm realm() {  
        // 这里可以自定义Realm实现，例如JdbcRealm、JndiRealm、ActiveDirectoryRealm等  
        // 或者自定义Realm类，实现身份验证和授权逻辑  
        return new CustomRealm();  
    }  
  
    // ... 其他Shiro相关的配置  
}

1. 实现Realm

你需要实现一个Realm类来提供身份验证和授权逻辑。Shiro提供了多个内置的Realm实现，但通常你需要自定义Realm以满足特定需求。

import org.apache.shiro.authc.AuthenticationException;  
import org.apache.shiro.authc.AuthenticationInfo;  
import org.apache.shiro.authc.AuthenticationToken;  
import org.apache.shiro.authc.SimpleAuthenticationInfo;  
import org.apache.shiro.authz.AuthorizationInfo;  
import org.apache.shiro.authz.SimpleAuthorizationInfo;  
import org.apache.shiro.realm.AuthorizingRealm;  
// ... 其他必要的导入  
  
public class CustomRealm extends AuthorizingRealm {  
  
    // 身份验证逻辑  
    @Override  
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
        // ... 根据token获取用户信息，构建AuthenticationInfo并返回  
    }  
  
    // 授权逻辑  
    @Override  
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {  
        // ... 根据用户信息获取角色和权限，构建AuthorizationInfo并返回  
    }  
}

1. 配置Shiro的过滤器

在shiroFilterFactoryBean中配置了Shiro的过滤器链。你可以根据需要定义不同的URL路径模式，并指定相应的过滤器。例如，你可能希望某些URL路径允许匿名访问，而其他URL路径则需要用户身份验证。

1. 编写登录和登出逻辑

在你的控制器或视图层中，编写处理登录和登出请求的逻辑。Shiro提供了方便的API来管理用户的身份验证状态。

1. 测试

编写单元测试或集成测试来验证你的Shiro配置和Realm实现是否正确工作。确保身份验证和授权逻辑按预期工作。

1. （可选）自定义Session管理

如果需要，你可以自定义Shiro的Session管理。这包括设置Session超时、配置Session存储（如Redis、JDBC等）等。