一:什么是Shiro？
它是一个安全框架，用于解决系统的认证和授权问题，同时提供了会话管理，数据加密机制。
二.应用程序如何使用Shiro框架？
可以看出，程序员只关注两部分：
1.如何获得Subject
2.如何定义一个符合规定的Realm域（密码比较器的定义也是程序员干的）
三.具体步骤:
1.导入jar包
Maven工程
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-all</artifactId>
<version>1.2.3</version>
</dependency>
Web工程
2.过滤器的配置
3.产生代理类的方式
下面这一行代码，放在applicationContext.xml事务管理器声明之前
<aop:aspectj-autoproxy proxy-target-class="true" />4.Shiro的配置文件application-shiro.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:p="http://www.springframework.org/schema/p"
xmlns:context="http://www.springframework.org/schema/context"
xmlns:tx="http://www.springframework.org/schema/tx"
xmlns:aop="http://www.springframework.org/schema/aop"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans.xsd
http://www.springframework.org/schema/aop
http://www.springframework.org/schema/aop/spring-aop.xsd
http://www.springframework.org/schema/tx
http://www.springframework.org/schema/tx/spring-tx.xsd
http://www.springframework.org/schema/context
http://www.springframework.org/schema/context/spring-context.xsd">
<description>Shiro的配置</description>
<!-- SecurityManager配置 -->
<!-- 配置Realm域 -->
<!-- 密码比较器 -->
<!-- 代理如何生成？ 用工厂来生成Shiro的相关过滤器-->
<!-- 配置缓存：ehcache缓存 -->
<!-- 安全管理 -->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<!-- Single realm app. If you have multiple realms, use the 'realms' property instead. -->
<property name="realm" ref="authRealm"/><!-- 引用自定义的realm -->
<!-- 缓存 -->
<property name="cacheManager" ref="shiroEhcacheManager"/>
</bean>
<!-- 自定义权限认证 -->
<bean id="authRealm" class="cn.itcast.jk.shiro.AuthRealm">
<property name="userService" ref="userService"/>
<!-- 自定义密码加密算法 -->
<property name="credentialsMatcher" ref="passwordMatcher"/>
</bean>
<!-- 设置密码加密策略 md5hash -->
<bean id="passwordMatcher" class="cn.itcast.jk.shiro.CustomCredentialsMatcher"/>
<!-- filter-name这个名字的值来自于web.xml中filter的名字 -->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"/>
<!--登录页面 -->
<property name="loginUrl" value="/index.jsp"></property>
<!-- 登录成功后 -->
<property name="successUrl" value="/home.action"></property>
<property name="filterChainDefinitions">
<!-- /**代表下面的多级目录也过滤 -->
<value>
/index.jsp* = anon
/home* = anon
/sysadmin/login/login.jsp* = anon
/sysadmin/login/logout.jsp* = anon
/login* = anon
/logout* = anon
/components/** = anon
/css/** = anon
/images/** = anon
/js/** = anon
/make/** = anon
/skin/** = anon
/stat/** = anon
/ufiles/** = anon
/validator/** = anon
/resource/** = anon
/** = authc
/*.* = authc
</value>
</property>
</bean>
<!-- 用户授权/认证信息Cache, 采用EhCache 缓存 -->
<bean id="shiroEhcacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
<property name="cacheManagerConfigFile" value="classpath:ehcache-shiro.xml"/>
</bean>
<!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
<!-- 生成代理，通过代理进行控制 -->
<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
depends-on="lifecycleBeanPostProcessor">
<property name="proxyTargetClass" value="true"/>
</bean>
<!-- 安全管理器 -->
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager"/>
</bean>
</beans>5.在applicationContext.xml文件中加载shiro配置文件
<import resource="classpath:spring/applicationContext-shiro.xml"></import>6.编写密码比较器
1. 替换原有的utils工具包中的类
2. Md5Hash算法介绍
//高强度加密算法,不可逆
public static String md5(String password, String salt){
return new Md5Hash(password,salt,2).toString();
}3.密码比较器
public class CustomCredentialsMatcher extends SimpleCredentialsMatcher {
/**
* 执行密码比较的方法
* 如果返回true，证明密码比较成功
* false，证明密码比较失败
*
* AuthenticationToken token:代表用户在界面上输入的用户名和密码
* AuthenticationInfo:它可以保存用户在数据库中的密文
*/
public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
//1.向下转型
UsernamePasswordToken upToken = (UsernamePasswordToken) token;
//2.得到原始密码，没有的密码，
String oldPwd = new String(upToken.getPassword());
//3.并进行加密
String newPwd = Encrypt.md5(oldPwd, upToken.getUsername());
//4.获取数据库中当前用户的密文
Object dbPwd = info.getCredentials();
return equals(newPwd, dbPwd);
}
}7.编写自定义Realm域
public class AuthRealm extends AuthorizingRealm {
private UserService userService;//注入业务逻辑
public void setUserService(UserService userService) {
this.userService = userService;
}
//授权 当jsp页面上读取到shiro标签时，就会执行这个方法
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal) {
System.out.println("授权");
//1.通过指定realm域的名字，找到之前放进去的principal值，这个值 就是用户对象
User user = (User) principal.fromRealm(this.getName()).iterator().next();
List permissions = new ArrayList();
//2.数据加载
Set<Role> roles = user.getRoles();//通过关联级别的数据加载，得到当前用户的所有角色
for(Role role :roles){
//遍历每个角色
Set<Module> modules = role.getModules();//再次使用关联级别数据检索，来加载当前角色下的模块（权限）
for(Module m:modules){
permissions.add(m.getCpermission());//组织权限字符串
}
}
//返回值
SimpleAuthorizationInfo sAuthInfo = new SimpleAuthorizationInfo();
sAuthInfo.addStringPermissions(permissions);
return sAuthInfo;
}
//认证 （登录）
protected AuthenticationInfo doGetAuthenticationInfo(
AuthenticationToken token) throws AuthenticationException {
System.out.println("认证");
//1.转化token
UsernamePasswordToken upToken = (UsernamePasswordToken) token;
//2.调用业务方法，进行查询
List<User> list = userService.find("from User u where u.userName=?" , User.class, new Object[]{upToken.getUsername()});//根据用户名得到一个用户对象
User user = null;
if(list!=null && list.size()>0){
user = list.get(0);
}
return new SimpleAuthenticationInfo(user, user.getPassword(), this.getName());
}
}
8.登录操作
if(UtilFuns.isEmpty(username)){
return "login";
}
//使用Shiro实现登录操作
try {
//1.得到Subject对象
Subject subject = SecurityUtils.getSubject();
//2.封装用户数据成一个AuthenicationToken对象
UsernamePasswordToken uptoken = new UsernamePasswordToken(username, password);
//3.实现登录操作
subject.login(uptoken); //立即调用AuthRealm域中的认证方法
//4.登录成功后，就可以从Shiro中取出用户对象
User user = (User)subject.getPrincipal();
//因为这些数据，在多处要使用，所以懒加载没有优势，所以提前加载出来，这样在多处使用时就不需要加载了
System.out.println(user.getDept().getDeptName());
Set<Role> roles = user.getRoles();//通过关联级别的数据加载，得到当前用户的所有角色
for(Role role :roles){
//遍历每个角色
System.out.println(role.getName());
Set<Module> modules = role.getModules();
for(Module m:modules){
System.out.println(m.getCpermission());
}
}
//5.将用户信息，放入session域中
session.put(SysConstant.CURRENT_USER_INFO, user);
} catch (Exception e) {
e.printStackTrace();
//当密码比较失败后，也会抛出异常
request.put("errorInfo", "对不起，用户名或密码错误，登录失败");
return "login";
}
return SUCCESS;
}
9.jsp
当jsp页面上出现Shiro标签时就会执行AuthRealm域中的授权方法。
1.引入Shiro标签
<%@ taglib uri=”http://shiro.apache.org/tags” prefix=”shiro” %>
登录过程：
授权的过程：
3889
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
