Shrio授权验证详解

最新推荐文章于 2023-11-13 08:30:00 发布
最新推荐文章于 2023-11-13 08:30:00 发布
阅读量266 收藏
点赞数
文章标签： 数据库 java
原文链接：http://www.cnblogs.com/zerotomax/p/7436511.html
版权

所谓授权，就是控制你是否能访问某个资源，比如说，你可以方位page文件夹下的jsp页面，但是不可以访问page文件夹下的admin文件夹下的jsp页面。

在授权中，有三个核心元素：权限，角色，用户。

每个用户可以有多个角色，每个角色也可以有多个权限。

权限：代表了可以执行的行为，例如对表的读写之类的。

角色：代表了一组权限

用户：代表了一个subject，可以为用户赋予角色，或者直接赋予权限。

 授权验证详解

在Shiro中共有三种授权的验证方式：编程式、注解式、JSP/GSP标签。

编程授权验证

最早的方式就是通过编程的方式，直接通过Subject来判断权限，角色等。

如果要判断当前用户是否有某个权限，可以通过hasRole方法来判断，如果有某权限的话，则干嘛，没有的话则干嘛。

Subject currentUser = SecurityUtils.getSubject();

if (currentUser.hasRole("administrator")) {
    //show the admin button 
} else {
    //don't show the button?  Grey it out? 
}

在Shrio中，提供了下面几个检测权限的方式：

hasRole(String roleName)如果当前用户有这个角色，则返回true
hasRoles(List<String> roleNames)返回一个是否有当前每个角色的结果集
hasAllRoles(Collection<String> roleNames)如果有所有的权限的话，则返回true

 

 

 

另外还有一种方式，就是调用checkRole方法来检测是否有特定的权限，如果有的话，则不会报错，没有的话则会抛出AuthorizationException异常。

Subject currentUser = SecurityUtils.getSubject();

//guarantee that the current user is a bank teller and 
//therefore allowed to open the account: 
currentUser.checkRole("bankTeller");
openBankAccount();

在Shrio中，也提供了下面的几个方法来检测权限：

checkRole(String roleName)如果没有这个权限则报错
checkRoles(Collection<String> roleNames)如果没有这其中的某个权限都会报错
checkRole(String... roleNames)如果没有这其中的某个权限都会报错

 

 

 

如果要检测是否有某个权限的话，则可以通过isPermitted方法来检测。

 这个方法可以接收Permission对象也可以接收字符串的权限信息。

Permission printPermission = new PrinterPermission("laserjet4400n", "print");

Subject currentUser = SecurityUtils.getSubject();

if (currentUser.isPermitted(printPermission)) {
    //show the Print button 
} else {
    //don't show the button?  Grey it out?
}

或者

Subject currentUser = SecurityUtils.getSubject();

if (currentUser.isPermitted("printer:print:laserjet4400n")) {
    //show the Print button
} else {
    //don't show the button?  Grey it out? 
}

在Shrio里面提供了下面的几个方法来检测权限。

isPermitted(Permission p)如果有这个权限的话就返回true
isPermitted(String perm)如果有这个权限的话就返回true
isPermitted(List<Persisson> perms)返回每个权限是否有的true或false的结果集
isPermitted(String ... perms)返回每个权限是否有的true或false的结果集
isPermittedAll(Collection<Permission> perms)如果拥有所有的权限则返回true
isPermittedALL(String ...Perms)如果拥有所有的权限则返回true

 

 

 

 

 

跟角色一样，也同样有下面的替换方式：

Subject currentUser = SecurityUtils.getSubject();

//guarantee that the current user is permitted 
//to open a bank account: 
Permission p = new AccountPermission("open");
currentUser.checkPermission(p);
openBankAccount();

或者

Subject currentUser = SecurityUtils.getSubject();

//guarantee that the current user is permitted 
//to open a bank account: 
currentUser.checkPermission("account:open");
openBankAccount();

也有下面几种方法：

checkPermission(Permission p)如果没有这个权限就会抛出异常
checkPermission(String perm)如果没有这个权限就会抛出异常
checkPermissions(Collection<permission> perms)如果没有这些权限中的某一个就会抛出异常
checkPermissions(String ... perms)如果没有这些权限中的某一个就会抛出异常

 

 

 

 

 

注解授权验证

Shiro的注解授权需要Java5以上的支持。

如果要想使用的话，还需要使用AOP的支持。在市面上也有很多中AOP支持，比如apache的Aspectj、Spring之类的。

RequiresAuthentication

这个注解表示要求当前用户对这个类，接口或者方法访问的时候，需要是已经被认证的。

@RequiresAuthentication
public void updateAccount(Account userAccount) {
    //this method will only be invoked by a
    //Subject that is guaranteed authenticated
    ...
}

RequireGuest

RequireGuest注解要求当前用户在访问这个类、接口或方法的时候是一个游客，也就是说没有登陆或者通过上演一次登陆的时候记住密码了。

@RequiresGuest
public void signUp(User newUser) {
    //this method will only be invoked by a
    //Subject that is unknown/anonymous
    ...
}

RequiresPermissions

RequiresPermission注解要求当前用户用户有着权限。

@RequiresPermissions("account:create")
public void createAccount(Account account) {
    //this method will only be invoked by a Subject
    //that is permitted to create an account
    ...
}

RequiresRoles

RequiresRoles注解要求当前用户拥有这个角色才可以访问，否则抛出异常。

@RequiresRoles("administrator")
public void deleteUser(User user) {
    //this method will only be invoked by an administrator
    ...
}

RequiresUser

RequiresUser要求当前用户必须是指定的用户才能够访问这个类、接口或者方法。

@RequiresUser
public void updateAccount(Account account) {
    //this method will only be invoked by a 'user'
    //i.e. a Subject with a known identity
    ...
}

 

 

JSP/GSP标签授权验证

 标签的授权验证用来支持在web开发中的权限控制。

 

 

 

授权顺序 

 前面我们讲了三种权限的控制方式，接下来我们看看权限控制的流程是什么样的。

下面是一张权限控制的结构图。

Step1：当前用户调用检测角色，权限的方法

step2：当前用户实例(通常是一个DelegatingSubject)通过调用SecurityManager的检测角色权限的方法，把任务转发给SecurityManager。

Step3：SecurityManager作为一个容器，把检测权限的任务转发给内部的验证器，验证器通常默认是一个ModularRealmAuthorizer实例，会通过Realm来检测用户的权限。

Step4：每一个Realm都会被用来检测是否支持当前的认证，支持的话则会调用Realm的方法来检测是否有当前权限。

角色与权限配置

角色域与权限的配置可以在INI文件或者数据库中配置，具体在那取决于我们具体采用哪种Realm的认证方式。

shiro.ini文件中配置

在shiro.ini配置文件中我们可以配置[main]，[users]，[roles]，[urls]四个节，其中[roles]就是用来配置角色与权限的。

例如：

[roles]
# 'admin' role has all permissions, indicated by the wildcard '*'
admin = *
# The 'schwartz' role can do anything (*) with any lightsaber:
schwartz = lightsaber:*
# The 'goodguy' role is allowed to 'drive' (action) the winnebago (type) with
# license plate 'eagle5' (instance specific id)
goodguy = winnebago:drive:eagle5

如果要让某个角色拥有多个权限，则可以用都厚隔开，指定多个权限即可。

实例（通过ini文件）：

首先在配置文件中配置权限信息，“*”是通配符。

[users]
fuwh=123456,admin
zhangsan=123,buzhang,yuangong
lisi=12,yuangong

[roles]
admin=*
buzhang=bumen:*
yuangong=bumen:diwubu:query

编写登陆权限认证程序：

package com.fuwh.demo;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.Permission;
import org.apache.shiro.authz.permission.WildcardPermission;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class ShiroDemo03 {
    
    private static Logger log=LoggerFactory.getLogger(ShiroDemo03.class);
    public static void main(String[] args) {
        //取得SecurityManager工厂
        Factory<SecurityManager> factory=new IniSecurityManagerFactory("classpath:shiro.ini");
        //取得SecurityManager实例
        SecurityManager securityManager=factory.getInstance();
        //将securityManager绑定到SecurityUtil
        SecurityUtils.setSecurityManager(securityManager);

        //取得当前用户
        Subject subject=SecurityUtils.getSubject();
        
        //使用fuwh来进行登陆验证
        if(!subject.isAuthenticated()) {
            UsernamePasswordToken token=new UsernamePasswordToken("fuwh","123456");
            try {
                subject.login(token);
                log.info(token.getPrincipal()+"登陆成功！！！");
                if(subject.hasRole("admin")) {
                    log.info(token.getPrincipal()+"有admin的角色");
                    Permission p1=new WildcardPermission("bumen:*:query");
                    if(subject.isPermitted(p1)) {
                        log.info(token.getPrincipal()+"有bumen:*:query的权限");
                    }
                }
            } catch (Exception e) {
                e.printStackTrace();
                log.error("认证失败...");
            }
        }
        subject.logout();
        
        log.debug("*****************************************************************");
        
        if(!subject.isAuthenticated()) {
            UsernamePasswordToken token=new UsernamePasswordToken("zhangsan","123");
            try {
                subject.login(token);
                log.info(token.getPrincipal()+"登陆成功！！！");
                if(subject.hasRole("yuangong")) {
                    log.info(token.getPrincipal()+"有yuangong的角色");
                    Permission p1=new WildcardPermission("bumen:diwubu:query");
                    if(subject.isPermitted(p1)) {
                        log.info(token.getPrincipal()+"有bumen:diwubu:query的权限");
                    }
                }
            } catch (Exception e) {
                e.printStackTrace();
                log.error("认证失败...");
            }
        }
        subject.logout();
        
        log.debug("*****************************************************************");
        
        if(!subject.isAuthenticated()) {
            UsernamePasswordToken token=new UsernamePasswordToken("lisi","12");
            try {
                subject.login(token);
                log.info(token.getPrincipal()+"登陆成功！！！");
                if(subject.hasRole("yuangong")) {
                    log.info(token.getPrincipal()+"有yuangong的角色");
                    Permission p1=new WildcardPermission("bumen:diwubu:update");
                    if(subject.isPermitted(p1)) {
                        log.info(token.getPrincipal()+"有bumen:diwubu:update的权限");
                    }else {
                        log.info(token.getPrincipal()+"没有bumen:diwubu:update的权限");
                    }
                }
            } catch (Exception e) {
                e.printStackTrace();
                log.error("认证失败...");
            }
        }
        subject.logout();
    }
}

执行后，输出结果：

2017-08-27 14:08:36,089 [main] INFO  [org.apache.shiro.session.mgt.AbstractValidatingSessionManager] - Enabling session validation scheduler...
2017-08-27 14:08:36,640 [main] INFO  [com.fuwh.demo.ShiroDemo03] - fuwh登陆成功！！！
2017-08-27 14:08:36,640 [main] INFO  [com.fuwh.demo.ShiroDemo03] - fuwh有admin的角色
2017-08-27 14:08:36,641 [main] INFO  [com.fuwh.demo.ShiroDemo03] - fuwh有bumen:*:query的权限
2017-08-27 14:08:36,643 [main] INFO  [com.fuwh.demo.ShiroDemo03] - zhangsan登陆成功！！！
2017-08-27 14:08:36,643 [main] INFO  [com.fuwh.demo.ShiroDemo03] - zhangsan有yuangong的角色
2017-08-27 14:08:36,643 [main] INFO  [com.fuwh.demo.ShiroDemo03] - zhangsan有bumen:diwubu:query的权限
2017-08-27 14:08:36,644 [main] INFO  [com.fuwh.demo.ShiroDemo03] - lisi登陆成功！！！
2017-08-27 14:08:36,644 [main] INFO  [com.fuwh.demo.ShiroDemo03] - lisi有yuangong的角色
2017-08-27 14:08:36,644 [main] INFO  [com.fuwh.demo.ShiroDemo03] - lisi没有bumen:diwubu:update的权限

需要解释一下的是，如果某个角色的权限是"*"，则代表拥有所有的权限。而如果只想让用户拥有某个部门的员工的所有权限的话怎么办呢?

在Shrio中支持分层的权限写法，例如：emp=bumen:yuangong:*，这样的分层则更容易的对权限来进行控制，

如果角色的权限为emp=bumen:update，则等价于emp=bumen:*:updae。

同时，emp=bumen:yuangong也等价于emp=bumen:yuangong:*。

通过Shiro自带的JdbcRealm

在JdbcReal中，默认的角色与权限的查询是通过静态变量DEFAULT_USER_ROLES_QUERY和DEFAULT_PERMISSIONS_QUERY中定义的sql语句来查询的。

DEFAULT_USER_ROLES_QUERY = "select role_name from user_roles where username = ?";

DEFAULT_PERMISSIONS_QUERY = "select permission from roles_permissions where role_name = ?";

并分别把他们的值赋给userRolesQuery和permissionsQuery。

所以默认情况下是从user_roles表中去查询角色信息，从roles_permissions表中去查询权限信息。

如果需要自定义表名，列名的话，可以通过在配置文件中覆写这两个sql语句。

实例：

首先建立数据库如下：

USE `db_shiro`;

DROP TABLE IF EXISTS `users`;

CREATE TABLE `users` (
  `id` int(4) NOT NULL AUTO_INCREMENT,
  `username` varchar(20) DEFAULT NULL,
  `password` varchar(100) DEFAULT NULL,
  UNIQUE KEY `id` (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=4 DEFAULT CHARSET=utf8;

insert  into `users`(`id`,`username`,`password`) values (1,'fuwh','123456'),(2,'zhangsan','123'),(3,'lisi','12');

DROP TABLE IF EXISTS `user_roles`;

CREATE TABLE `user_roles` (
  `username` varchar(20) NOT NULL,
  `role_name` varchar(20) NOT NULL,
  `role_desc` varchar(100) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

insert  into `user_roles`(`username`,`role_name`,`role_desc`) values ('fuwh','admin','管理员'),('zhangsan','buzhang','部长'),('lisi','yuangong','员工'),('zhangsan','yuangong','员工');

DROP TABLE IF EXISTS `roles_permissions`;

CREATE TABLE `roles_permissions` (
  `role_name` varchar(20) NOT NULL,
  `permission` varchar(20) NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

insert  into `roles_permissions`(`role_name`,`permission`) values ('admin','*'),('buzhang','bumen:*'),('yuangong','bumen:diwubu:query');

编写配置文件：

[main]
dataSource=com.mchange.v2.c3p0.ComboPooledDataSource
dataSource.driverClass=com.mysql.jdbc.Driver
dataSource.jdbcUrl=jdbc:mysql://localhost:3306/db_shiro
dataSource.user=root
dataSource.password=rootadmin

jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm

编写授权代码：

package com.fuwh.demo;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.Permission;
import org.apache.shiro.authz.permission.WildcardPermission;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class ShiroDemoJdbc03 {
    
    private static Logger log=LoggerFactory.getLogger(ShiroDemoJdbc03.class);
    public static void main(String[] args) {
        //取得SecurityManager工厂
        Factory<SecurityManager> factory=new IniSecurityManagerFactory("classpath:shiro_jdbc.ini");
        //取得SecurityManager实例
        SecurityManager securityManager=factory.getInstance();
        //将securityManager绑定到SecurityUtil
        SecurityUtils.setSecurityManager(securityManager);

        /*    至此为止，简单的从mysql数据库读取realm信息的shiro环境就配置好了    */
        
        //取得当前用户
        Subject subject=SecurityUtils.getSubject();
        
        //使用fuwh来进行登陆验证
                if(!subject.isAuthenticated()) {
                    UsernamePasswordToken token=new UsernamePasswordToken("fuwh","123456");
                    try {
                        subject.login(token);
                        log.info(token.getPrincipal()+"登陆成功！！！");
                        if(subject.hasRole("admin")) {
                            log.info(token.getPrincipal()+"有admin的角色");
                            Permission p1=new WildcardPermission("bumen:*:query");
                            if(subject.isPermitted(p1)) {
                                log.info(token.getPrincipal()+"有bumen:*:query的权限");
                            }
                        }
                    } catch (Exception e) {
                        e.printStackTrace();
                        log.error("认证失败...");
                    }
                }
                subject.logout();
                
                log.debug("*****************************************************************");
                
                if(!subject.isAuthenticated()) {
                    UsernamePasswordToken token=new UsernamePasswordToken("zhangsan","123");
                    try {
                        subject.login(token);
                        log.info(token.getPrincipal()+"登陆成功！！！");
                        if(subject.hasRole("yuangong")) {
                            log.info(token.getPrincipal()+"有yuangong的角色");
                            Permission p1=new WildcardPermission("bumen:diwubu:query");
                            if(subject.isPermitted(p1)) {
                                log.info(token.getPrincipal()+"有bumen:diwubu:query的权限");
                            }
                        }
                    } catch (Exception e) {
                        e.printStackTrace();
                        log.error("认证失败...");
                    }
                }
                subject.logout();
                
                log.debug("*****************************************************************");
                
                if(!subject.isAuthenticated()) {
                    UsernamePasswordToken token=new UsernamePasswordToken("lisi","12");
                    try {
                        subject.login(token);
                        log.info(token.getPrincipal()+"登陆成功！！！");
                        if(subject.hasRole("yuangong")) {
                            log.info(token.getPrincipal()+"有yuangong的角色");
                            Permission p1=new WildcardPermission("bumen:diwubu:update");
                            if(subject.isPermitted(p1)) {
                                log.info(token.getPrincipal()+"有bumen:diwubu:update的权限");
                            }else {
                                log.info(token.getPrincipal()+"没有bumen:diwubu:update的权限");
                            }
                        }
                    } catch (Exception e) {
                        e.printStackTrace();
                        log.error("认证失败...");
                    }
                }
                subject.logout();
    }
}

执行结果：

2017-08-27 14:08:36,089 [main] INFO  [org.apache.shiro.session.mgt.AbstractValidatingSessionManager] - Enabling session validation scheduler...
2017-08-27 14:08:36,640 [main] INFO  [com.fuwh.demo.ShiroDemo03] - fuwh登陆成功！！！
2017-08-27 14:08:36,640 [main] INFO  [com.fuwh.demo.ShiroDemo03] - fuwh有admin的角色
2017-08-27 14:08:36,641 [main] INFO  [com.fuwh.demo.ShiroDemo03] - fuwh有bumen:*:query的权限
2017-08-27 14:08:36,643 [main] INFO  [com.fuwh.demo.ShiroDemo03] - zhangsan登陆成功！！！
2017-08-27 14:08:36,643 [main] INFO  [com.fuwh.demo.ShiroDemo03] - zhangsan有yuangong的角色
2017-08-27 14:08:36,643 [main] INFO  [com.fuwh.demo.ShiroDemo03] - zhangsan有bumen:diwubu:query的权限
2017-08-27 14:08:36,644 [main] INFO  [com.fuwh.demo.ShiroDemo03] - lisi登陆成功！！！
2017-08-27 14:08:36,644 [main] INFO  [com.fuwh.demo.ShiroDemo03] - lisi有yuangong的角色
2017-08-27 14:08:36,644 [main] INFO  [com.fuwh.demo.ShiroDemo03] - lisi没有bumen:diwubu:update的权限

 

通过自定义的MyJdbcRealm实现：

创建数据库：

 

USE `db_shiro`;


DROP TABLE IF EXISTS `members`;

CREATE TABLE `members` (
  `id` INT(4) NOT NULL AUTO_INCREMENT,
  `membername` VARCHAR(20) DEFAULT NULL,
  `password` VARCHAR(100) DEFAULT NULL,
  UNIQUE KEY `id` (`id`)
) ENGINE=INNODB AUTO_INCREMENT=4 DEFAULT CHARSET=utf8;


INSERT  INTO `members`(`id`,`membername`,`password`) VALUES (1,'fuwh','123456'),(2,'zhangsan','123'),(3,'lisi','12');


DROP TABLE IF EXISTS `roles_permissions`;

CREATE TABLE `roles_permissions` (
  `role_name` VARCHAR(20) NOT NULL,
  `permission` VARCHAR(20) NOT NULL
) ENGINE=INNODB DEFAULT CHARSET=utf8;


INSERT  INTO `roles_permissions`(`role_name`,`permission`) VALUES ('admin','*'),('buzhang','bumen:*'),('yuangong','bumen:diwubu:query');

DROP TABLE IF EXISTS `member_roles`;

CREATE TABLE `member_roles` (
  `membername` VARCHAR(20) NOT NULL,
  `role_name` VARCHAR(20) NOT NULL,
  `role_desc` VARCHAR(100) DEFAULT NULL
) ENGINE=INNODB DEFAULT CHARSET=utf8;


INSERT  INTO `member_roles`(`membername`,`role_name`,`role_desc`) VALUES ('fuwh','admin','管理员'),('zhangsan','buzhang','部长'),('lisi','yuangong','员工'),('zhangsan','yuangong','员工');

编写MyJdbcRealm

 

package com.fuwh.realm;

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.util.LinkedHashSet;
import java.util.Set;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

import com.fuwh.util.DbUtil;

public class MyJdbcRealm extends AuthorizingRealm{

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // TODO Auto-generated method stub
        SimpleAuthorizationInfo info=new SimpleAuthorizationInfo();
        Set<String> roleNames=new LinkedHashSet<String>();
        Connection conn=DbUtil.getConnection();
        String sql="select role_name from member_roles where membername=?";
        try {
            PreparedStatement ps=conn.prepareStatement(sql);
            ps.setString(1, principals.toString());
            ResultSet rs=ps.executeQuery();
            while(rs.next()) {
                roleNames.add(rs.getString(1));
            }
            rs.close();
            info.setRoles(roleNames);
            try {
                Set<String> permissions=getPermissions(conn,roleNames);
                info.setStringPermissions(permissions);
            } catch (Exception e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }
            ps.close();
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        return info;
    }

    
    protected Set<String> getPermissions(Connection conn,Set<String> roleNames) throws Exception{
        Set<String> permissions=new LinkedHashSet<String>();
        String sql="select permission from roles_permissions where role_name=?";
        PreparedStatement ps=conn.prepareStatement(sql);
        for (String roleName : roleNames) {
            ps.setString(1,roleName);
            ResultSet rs=ps.executeQuery();
            while(rs.next()) {
                permissions.add(rs.getString("permission"));
            }
            rs.close();
        }
        ps.close();
        return permissions;
    }
    
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // TODO Auto-generated method stub
        Connection conn=DbUtil.getConnection();
        String sql="select * from members where userName=?";
        try {
            PreparedStatement ps=conn.prepareStatement(sql);
            ps.setString(1, token.getPrincipal().toString());
            ResultSet rs=ps.executeQuery();
            while(rs.next()) {
                AuthenticationInfo info=new SimpleAuthenticationInfo(rs.getString("userName"),rs.getString("pass"),"salt");
                return info;
            }
        } catch (SQLException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        return null;
    }
    
}

编写配置文件：

[main]myJdbcRealm=com.fuwh.realm.MyJdbcRealmsecurityManager.realms=$myJdbcRealm

 编写权限认证代码：

package com.fuwh.demo;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.Permission;
import org.apache.shiro.authz.permission.WildcardPermission;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class ShiroDemoMyJdbc03 {
    
    private static Logger log=LoggerFactory.getLogger(ShiroDemoMyJdbc03.class);
    public static void main(String[] args) {
        //取得SecurityManager工厂
        Factory<SecurityManager> factory=new IniSecurityManagerFactory("classpath:shiro_my_jdbc.ini");
        //取得SecurityManager实例
        SecurityManager securityManager=factory.getInstance();
        //将securityManager绑定到SecurityUtil
        SecurityUtils.setSecurityManager(securityManager);

        /*    至此为止，简单的从mysql数据库读取realm信息的shiro环境就配置好了    */
        
        //取得当前用户
        Subject subject=SecurityUtils.getSubject();
        
        //使用fuwh来进行登陆验证
                if(!subject.isAuthenticated()) {
                    UsernamePasswordToken token=new UsernamePasswordToken("fuwh","123456");
                    try {
                        subject.login(token);
                        log.info(token.getPrincipal()+"登陆成功！！！");
                        if(subject.hasRole("admin")) {
                            log.info(token.getPrincipal()+"有admin的角色");
                            Permission p1=new WildcardPermission("bumen:*:query");
                            if(subject.isPermitted(p1)) {
                                log.info(token.getPrincipal()+"有bumen:*:query的权限");
                            }
                        }
                    } catch (Exception e) {
                        e.printStackTrace();
                        log.error("认证失败...");
                    }
                }
                subject.logout();
                
                log.debug("*****************************************************************");
                
                if(!subject.isAuthenticated()) {
                    UsernamePasswordToken token=new UsernamePasswordToken("zhangsan","123");
                    try {
                        subject.login(token);
                        log.info(token.getPrincipal()+"登陆成功！！！");
                        if(subject.hasRole("yuangong")) {
                            log.info(token.getPrincipal()+"有yuangong的角色");
                            Permission p1=new WildcardPermission("bumen:diwubu:query");
                            if(subject.isPermitted(p1)) {
                                log.info(token.getPrincipal()+"有bumen:diwubu:query的权限");
                            }
                        }
                    } catch (Exception e) {
                        e.printStackTrace();
                        log.error("认证失败...");
                    }
                }
                subject.logout();
                
                log.debug("*****************************************************************");
                
                if(!subject.isAuthenticated()) {
                    UsernamePasswordToken token=new UsernamePasswordToken("lisi","12");
                    try {
                        subject.login(token);
                        log.info(token.getPrincipal()+"登陆成功！！！");
                        if(subject.hasRole("yuangong")) {
                            log.info(token.getPrincipal()+"有yuangong的角色");
                            Permission p1=new WildcardPermission("bumen:diwubu:update");
                            if(subject.isPermitted(p1)) {
                                log.info(token.getPrincipal()+"有bumen:diwubu:update的权限");
                            }else {
                                log.info(token.getPrincipal()+"没有bumen:diwubu:update的权限");
                            }
                        }
                    } catch (Exception e) {
                        e.printStackTrace();
                        log.error("认证失败...");
                    }
                }
                subject.logout();
    }
}

 

点此查看源码：https://github.com/oukafu/shiro

 

转载于:https://www.cnblogs.com/zerotomax/p/7436511.html

dengjuyan2649
关注
Shrio身份认证与权限认证简要源码调用过程
千林的博客
04-22 461
    大家好，很久没有更新博客了，最近由于工作需要，正在学习有关Shrio的一些知识，网上关于Shrio的教程与资料十分丰富，在这里就不做过多说明了，下面的简要说明摘自张开涛老师的《跟我学Shrio》教程：Apache Shiro 是一个强大易用的 Java 安全框架，提供了认证、授权、加密和会话管理等功能，对于任何一个应用程序，Shiro 都可以提供全面的安全管理服务。并且相对于其他安全框架，...
Shiro 认证授权详解
皓晨的架构笔记
03-27 8134
1     权限管理1.1用户身份认证1.1.1  概念         身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。对于采用指纹等系统，则出示指纹；对于硬件Key等刷卡系统，则需要刷卡。1.1.2  用户名密码身份认证流程1.1.3  关键对象      ...
安全认证框架Shrio学习，入门到深度学习,SpringBoot整合Shiro小案例，含代码
最新发布
HakerDONG的博客
11-13 182
安全认证框架Shiro的学习以及整合Spring Boot
Shiro报异常org.apache.shiro.authz.AuthorizationException: Not authorized to invoke method:
svygh123的专栏
02-12 1843
异常如下 2021-02-12 13:38:13.388 ERROR 6052 --- [io-8080-exec-10] o.a.c.c.C.[.[.[/].[dispatcherServlet] : Servlet.service() for servlet [dispatcherServlet] in context with path [] threw exception [Request processing failed; nested exception is org.apache.
javax.imageio.IIOException: Unsupported Image TypeUnsupported marker type 0x20
z90708833_yp的博客
11-22 1297
最近遇到了批量导入图片的时候的imageio的异常，先记录下： javax.imageio.IIOException: Unsupported marker type 0x20         at com.sun.imageio.plugins.jpeg.JPEGImageReader.readImage(Native Method)         at com.sun.imageio.pl...
java springboot 项目关于org.apache.shiro.authz.UnauthorizedException: Subject does not have permission
YHLSunshine的博客
06-07 2598
java springboot 项目关于org.apache.shiro.authz.UnauthorizedException: Subject does not have permission
Apache Shiro授权机制详解
"Apache Shiro是一个强大的Java安全框架，用于实现身份验证、授权、会话管理和缓存等功能。本文将深入探讨Shiro的授权机制，包括其核心组件、权限分配和授权流程。" Apache Shiro的授权机制是其功能的重要组成部分...
Shiro授权原理详解：主体、资源与权限的角色划分
Shiro授权的实现原理是应用中的核心概念，用于控制用户对系统资源的访问。它涉及四个关键概念：主体（Subject）、资源（Resource）、权限（Permission）和角色（Role）。 1. **主体（Subject）**: 在Shiro中，...
shiro认证授权框架详解
11-18
shiro 认证授权框架详解 Shiro 认证授权框架是 Java 中一种流行的认证授权解决方案，提供了完整的认证和授权机制，能够满足大多数应用程序的安全需求。Shiro 框架的核心思想是将认证和授权分离，认证负责验证用户...
org.apache.shiro.authz.AuthorizationException: Not authorized to invoke method: public java.lang.Str
热门推荐
掘金者说
06-25 1万+
org.apache.shiro.authz.AuthorizationException: Not authorized to invoke method: public java.lang.String 项目：SpringBoot+shiro+mybatis-plus来说 org.apache.shiro.authz.AuthorizationException: Not authorized...
org.apache.shiro.authz.AuthorizationException: Not authorized to invoke method xxx
Bernie_7的博客
07-24 993
踩坑记录 springboot整合shiro的时候爆出的错误。 原因是认证授权的时候出错了。shiro抛出了错误。 但是好像springboot没有处理，自己定义全局异常捕获也没有处理。（没看源码我也不知道是不是，） 解决办法 加一个类，去捕获异常。具体如下 import com.llgz.hotelmanageapi.common.CommonResult; import org.apache.shiro.authz.AuthorizationException; import org.apache.sh
Sping Security-授权
John的专栏
11-26 516
Spring Security（08）——intercept-url配置:http://haohaoxuexi.iteye.com/blog/2161056 权限控制：spring 3.0 security配置例子:http://www.blogjava.net/libin2722/articles/332006.html
guns-lite用oracle时报下面的错误：
爱的叹息的专栏
04-10 376
2019-4-10 00:16:05 [http-nio-8080-exec-1] INFO [[/]]:179 Initializing Spring FrameworkServlet 'dispatcherServlet' 2019-4-10 00:16:05 [http-nio-8080-exec-1] INFO [DispatcherServlet]:489 FrameworkServl...
[Linux] 文件权限
Moke
11-28 276
drwxr-xr-x. 2 fuwh fuwh 4096 7月 13 22:45 Desktop d:第一个字符d代表这是一个目录。'-'：则代表这是一个文件。‘l’：则代表这是一个超链接。 然后是后面的9位：rwxr-xr-x 这9位代表的是对该目录的操作权限信息，需要分为xxx xxx xxx的三个三位的来看。 第一个三位代表文件拥有者的权限。 第二个三位代表同群组的权限。 ...
shiro权限认证HelleWorld示例（最简单的模拟调用方式）
mischen520的博客
04-27 479
1.创建一个maven工程，只需要最简单的project就可以，idea通过File-New-Project简单创建即可 2.在maven里面配置shiro依赖关系，代码如下： <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
quartz包、QuartzSessionValidationScheduler错误
dgh112233的博客
04-23 2927
报错：an tempt to call the method org.quartz.Scheduler.getListenerManager(). but 它不存在。 就这种错误。 java.lang.InstantiationError: org.quartz.SimpleTrigger 遇到这种问题，基本就是本文所提到的了。 spring 3.0.1以下的使用 quartz 1点几版...
开启多线程，shiro报错：UnknownSessionException: There is no session with id
一生编程，快乐编程
04-27 705
开启多线程，shiro报错：UnknownSessionException: There is no session with id. 如下所示： org.apache.shiro.session.UnknownSessionException: There is no session with id [c8c5715ea6524f08b2ebe9fcb0566e20] at o...
linux之awk命令详解
dengjuyan2649的博客
08-14 155
AWK是一种优良的文本处理工具。它不仅是 Linux 中也是任何环境中现有的功能最强大的数据处理引擎之一。 AWK 提供了极其强大的功能：可以进行样式装入、流控制、数学运算符、进程控制语句甚至于内置的变量和函数。它具备了一个完整的语言所应具有的几乎所有精美特性。实际上 AWK 的确拥有自己的语言：AWK 程序设计语言， 它允许您创建简短的程序，这些程序读取输入文件、为数据排序、处理数据...
springboot整合shiro的session问题UnknownSessionException There is no session with id
web15286201346的博客
04-26 752
报错信息如下 [2018-12-19 02:25:13.852][http-nio-8077-exec-8][DEBUG][org.apache.shiro.web.servlet.SimpleCookie][389]:Found 'SHRIOSESSIONID' cookie value [2387e612-1c34-44b5-b00f-faa2937e2c7f] [2018-12-19 02:25:13.853][http-nio-8077-exec-8][DEBUG][org.apache.shiro
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值