shiro权限控制

一、 完成shiro在项目中基本的配置

思路：分别在web.xml配置过滤器以及在applicationContext.xml去配置

实现步骤：

1、在pom.xml里引入shiro的坐标

       

             <shiro.version>1.2.2</shiro.version>

                <!-- 权限控制 框架 -->
		<dependency>
			<groupId>org.apache.shiro</groupId>
			<artifactId>shiro-all</artifactId>
			<version>${shiro.version}</version>
		</dependency>

  2、在web.xml里配置shiro过滤器

    

        <!-- 注意：一定配置在struts2过滤器之前；配置Spring提供代理过滤器 -->
	<filter>
		<filter-name>shiroFilter</filter-name>
		<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
	</filter>
	
	<filter-mapping>
		<filter-name>shiroFilter</filter-name>
		<url-pattern>/*</url-pattern>	
	</filter-mapping>

  3、在applicationContext.xml里配置安全管理器以及校验过滤器

   <!--配置过滤器工厂  -->
	<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
		<!-- 注入安全管理器 -->
		<property name="securityManager" ref="securityManager"></property>
		<!-- 注入相关页面
			loginUrl ：登陆页面=用户没有登录，访问某个url(要求当前用户登陆后可见)shiro框架会自动跳转到登录页
		    successUrl;登陆成功页面=可以不配（通过struts2框架跳转）
		    unauthorizedUrl;权限不足页面=用户登陆后访问url(要求必须有某个权限)，如果用户没有权限，跳转此页面
		 -->
		<property name="loginUrl" value="/login.jsp"></property> 
		<property name="unauthorizedUrl" value="/unauthorized.jsp"></property>
		<!-- 配置过滤器链：配置项目中url对应拦截规则（怎么验权） -->
		<!-- 
			等号左侧代表项目url    /** 项目中所有url
			等号右侧代表url经过哪个过滤器（shiro框架提供，使用简称即可）
			authc:表单认证过滤器（访问url，要求当前用户必须认证通过后才有权限访问）
			anon:匿名过滤器（访问url，不需要登陆，不需要有权限==直接放行）
			
			perms:权限授权过滤器（访问url,要求当前用户必须有某个权限）
			roles:角色授权过滤器（访问url,要求当前用户必须有某个角色）(通过角色分配权限)
		 -->
		 <property name="filterChainDefinitions">
			<value>
				/js/** = anon
				/images/** = anon
				/css/** = anon
				/login.jsp = anon
				/validatecode.jsp* = anon
				/userAction_login.action = anon
				/pages/base/standard.jsp = perms["standard_page"]
				/courierAction_delete.action = perms["courier_delete"]
				/pages/base/courier.jsp = roles["admin"]
				/** = authc
			</value>
		</property>		
	</bean>
	<!-- 配置安全管理器对象 --><!-- 安全管理器是这个框架提供的接口,我们不能直接使用接口,需要写出他的实现类来   DefaultWebSecurityManager -->
	<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
		<!-- 注入自定义realm对象 -->
		<property name="realm" ref="bosRealm"></property>
	</bean>
	<!-- 开始shrio的注解的支持 -->
	<!-- 设置自动代理,强制使用cglib代理技术	产生代理对象 -->
	
	<!-- 开启shiro注解支持 -->
	<!-- 
		自动代理：自动根据情况不同选择代理技术
		有接口：使用jdk动态代理==产生实现类代理对象
		没有接口：使用cglib动态代理==产生子类代理对象
		设置自动代理：强制使用cglib动态代理产生代理对象==如果使用自动代理因为我们早业务层写的有接口,会默认使用jdk动态代理。产生对象为null
	 -->
	 <!-- proxyTargetClass通过该属性来强制指定代理方式为cglib动态代理方式 -->
	<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
		<property name="proxyTargetClass" value="true"></property>
	</bean>
	
	<!-- 配置验权切面：通知/增强（扩展功能代码：验证权限）+切点（shiro注解所在方法） -->
	<!-- 切面就是    通知 + 切点 -->
	<!-- AuthorizationAttributeSourceAdvisor验权切面 -->
	<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"></bean>

  4、自定义realm对象(认证/授权)

package cn.itcast.bos.web.realms;

import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Component;

import cn.itcast.bos.dao.system.UserDao;
import cn.itcast.bos.domain.system.User;

/**
 * @Description:查询安全数据	 查询安全数据（用户认证过程查询用户信息；用户授权过程查询用户权限信息）
 * 1、认证      2、授权
 * @Author:		张洋
 * @Company:	http://www.myfreecloud.cn
 * @CreateDate:	2018年6月26日
 */
//继承了子类,实现类 两个抽象方法
//然后注入到配置文件只中
@Component("bosRealm")
public class BosRelam extends AuthorizingRealm{

	
	@Autowired
	private UserDao userDao;
	
	//返回当前用户的认证信息
	//认证信息
	/**
	  * @Description: 返回当前用户认证信息（判断用户是否合法）
	  * @param token :Subject调用login方法参数
	  * 认证逻辑：1、根据用户名查询数据库中真实密码   2、比对密码是否正确框架实现
	*/
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){
	UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token;
		//用户在登陆表单输入值
		String username = usernamePasswordToken.getUsername();
		User user = userDao.findByUsername(username);
		//输入了不存在的用户名
		if(user==null){
			//用户名错误
			return null; //shiro框架抛出异常：未知账户异常
		}
		//参数一：主角信息    参数二：用户真实密码  
		
		//如果密码比对失败shiro框架抛异常		new 简单的认证信息(主角信息		数据库中的真实密码	当前class的名称)
		AuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), this.getName());
		return info;
	}
	
	//注意方法上有注解,类上也有注解,以类上的注解为准
		//授权信息
	/**
	  * @Description: 授权（查询当前用户是否有权限）
	  * 1、当使用shiro框架提供给url验证方式，使用权限，角色过滤器调用此方法查询用户权限。
	  * 2、当使用shiro框架提供给注解验证方式，代理对象调用此方法查询用户权限。
	  * 3、当使用shiro框架提供页面标签方式验证权限，使用验证权限，验证角色的标识，调用此方法
	  * 4、当使用代码级别验证权限
	*/
		@Override
		protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection paramPrincipalCollection) {
			System.out.println("开始授权");
			// TODO Auto-generated method stub
			SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
			info.addStringPermission("standard_page");
			//info.addStringPermission("courier_delete");
			info.addRole("admin");
			return info;
		}
	
}

  5、将realm注入到manager中注册

参见[]配置3的安全管理器的配置

 

二、 使用shiro的方法注解方式进行权限控制

思路：在applicationContext.xml里使用aop去实现

 

实现步骤：

1、在spring文件中配置开启shiro注解支持

<!-- 开始shrio的注解的支持 -->
	<!-- 设置自动代理,强制使用cglib代理技术	产生代理对象 -->
	
	<!-- 开启shiro注解支持 -->
	<!-- 
		自动代理：自动根据情况不同选择代理技术
		有接口：使用jdk动态代理==产生实现类代理对象
		没有接口：使用cglib动态代理==产生子类代理对象
		设置自动代理：强制使用cglib动态代理产生代理对象==如果使用自动代理因为我们早业务层写的有接口,会默认使用jdk动态代理。产生对象为null
	 -->
	 <!-- proxyTargetClass通过该属性来强制指定代理方式为cglib动态代理方式 -->
	<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
		<property name="proxyTargetClass" value="true"></property>
	</bean>
	
	<!-- 配置验权切面：通知/增强（扩展功能代码：验证权限）+切点（shiro注解所在方法） -->
	<!-- 切面就是    通知 + 切点 -->
	<!-- AuthorizationAttributeSourceAdvisor验权切面 -->
	<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"></bean>

2、修改事务注解

这里详细的原因是因为之前的transaction事物注解是采用的自动选择的方式在自动选择的时候有接口的回默认采用jdk的动态代理的方式,没有接口的会采用cglib的方式产生子类对象进而采用动态代理的方式进行方法的增强和事物的开启和提交,现在使用了shrio权限管理框架,我们就需要强制采用cglib代理的方式,不能使用jdk的动态代理,所以在Spring配置文件中引入一下配置,强制开启cglib方式的动态代理技术

        <!-- 业务层事物 	注解默认采用也是自动代理技术,在我们使用shrio后强制使用cglib代理技术	加上了这个属性 proxy-target-class="true" -->
	<tx:annotation-driven transaction-manager="transactionManager" proxy-target-class="true"/>

3、在Service方法上使用shiro注解

@Service
@Transactional
public class MenuServiceImpl implements MenuService{
	@Autowired
	private MenuDao menuDao;
	
	@Override
	public List<Menu> findAll() {
		return menuDao.findByParentMenuIsNull();
	}
}

 

三、 使用shiro的标签进行权限控制

思路：这些标签用于JSP页面，控制一些元素是否可见

实现步骤：

1、 在页面引入shiro标签库

不管使用什么标签,首要的事情就是引入标签库

 <%@ taglib uri="http://shiro.apache.org/tags" prefix="shiro"%>

2、 通过shiro自带标签控制按钮是否显示

 

 

                        <shiro:hasPermission name="courier_delete">
			{
				id : 'button-delete',
				text : '作废',
				iconCls : 'icon-cancel',
				handler : doDelete
			},
			</shiro:hasPermission>

 

 

四、 总结shiro提供的权限控制方式

思路：

1、URL级别粗粒度权限控制

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
	xmlns:aop="http://www.springframework.org/schema/aop"
	xmlns:context="http://www.springframework.org/schema/context"
	xmlns:jdbc="http://www.springframework.org/schema/jdbc" 
	xmlns:tx="http://www.springframework.org/schema/tx"
	xmlns:jpa="http://www.springframework.org/schema/data/jpa" 
	xmlns:task="http://www.springframework.org/schema/task"
	xmlns:jaxws="http://cxf.apache.org/jaxws"
	xsi:schemaLocation="
						http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
						http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop.xsd
						http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context.xsd
						http://www.springframework.org/schema/jdbc http://www.springframework.org/schema/jdbc/spring-jdbc.xsd
						http://www.springframework.org/schema/tx http://www.springframework.org/schema/tx/spring-tx.xsd
						http://www.springframework.org/schema/data/jpa 
						http://www.springframework.org/schema/data/jpa/spring-jpa.xsd
						http://cxf.apache.org/jaxws 
						http://cxf.apache.org/schemas/jaxws.xsd">
	<!--配置过滤器工厂  -->
	<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
		<!-- 注入安全管理器 -->
		<property name="securityManager" ref="securityManager"></property>
		<!-- 注入相关页面
			loginUrl ：登陆页面=用户没有登录，访问某个url(要求当前用户登陆后可见)shiro框架会自动跳转到登录页
		    successUrl;登陆成功页面=可以不配（通过struts2框架跳转）
		    unauthorizedUrl;权限不足页面=用户登陆后访问url(要求必须有某个权限)，如果用户没有权限，跳转此页面
		 -->
		<property name="loginUrl" value="/login.jsp"></property> 
		<property name="unauthorizedUrl" value="/unauthorized.jsp"></property>
		<!-- 配置过滤器链：配置项目中url对应拦截规则（怎么验权） -->
		<!-- 
			等号左侧代表项目url    /** 项目中所有url
			等号右侧代表url经过哪个过滤器（shiro框架提供，使用简称即可）
			authc:表单认证过滤器（访问url，要求当前用户必须认证通过后才有权限访问）
			anon:匿名过滤器（访问url，不需要登陆，不需要有权限==直接放行）
			
			perms:权限授权过滤器（访问url,要求当前用户必须有某个权限）
			roles:角色授权过滤器（访问url,要求当前用户必须有某个角色）(通过角色分配权限)
		 -->
		 <property name="filterChainDefinitions">
			<value>
				/js/** = anon
				/images/** = anon
				/css/** = anon
				/login.jsp = anon
				/validatecode.jsp* = anon
				/userAction_login.action = anon
				/pages/base/standard.jsp = perms["standard_page"]
				/courierAction_delete.action = perms["courier_delete"]
				/pages/base/courier.jsp = roles["admin"]
				/** = authc
			</value>
		</property>		
	</bean>
	<!-- 配置安全管理器对象 --><!-- 安全管理器是这个框架提供的接口,我们不能直接使用接口,需要写出他的实现类来   DefaultWebSecurityManager -->
	<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
		<!-- 注入自定义realm对象 -->
		<property name="realm" ref="bosRealm"></property>
	</bean>
	<!-- 开始shrio的注解的支持 -->
	<!-- 设置自动代理,强制使用cglib代理技术	产生代理对象 -->
	
	<!-- 开启shiro注解支持 -->
	<!-- 
		自动代理：自动根据情况不同选择代理技术
		有接口：使用jdk动态代理==产生实现类代理对象
		没有接口：使用cglib动态代理==产生子类代理对象
		设置自动代理：强制使用cglib动态代理产生代理对象==如果使用自动代理因为我们早业务层写的有接口,会默认使用jdk动态代理。产生对象为null
	 -->
	 <!-- proxyTargetClass通过该属性来强制指定代理方式为cglib动态代理方式 -->
	<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
		<property name="proxyTargetClass" value="true"></property>
	</bean>
	
	<!-- 配置验权切面：通知/增强（扩展功能代码：验证权限）+切点（shiro注解所在方法） -->
	<!-- 切面就是    通知 + 切点 -->
	<!-- AuthorizationAttributeSourceAdvisor验权切面 -->
	<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"></bean>
</beans>

2、方法级别细粒度权限控制（基于代理技术实现）

    

                @Override
		protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection paramPrincipalCollection) {
			System.out.println("开始授权");
			SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
			info.addStringPermission("standard_page");
			//info.addStringPermission("courier_delete");
			info.addRole("admin");
			return info;
		}

3、通过shiro自定义标签，实现页面元素显示控制（基于标签技术实现）

 <shiro:hasPermission name="courier_delete">
			{
				id : 'button-delete',
				text : '作废',
				iconCls : 'icon-cancel',
				handler : doDelete
			},
			</shiro:hasPermission>

五、 用户认证、授权功能的实现

思路：在UserAction的login方法里使用Subject完成

实现步骤：

1、 在UserAction的login方法里得到Subject对象

//获取当前登陆用户
Subject subject = SecurityUtils.getSubject();

2、 封装表单提交的用户名和密码

//开始认证  认证状态：未认证
//创建认证令牌-用户名密码令牌
AuthenticationToken token = new UsernamePasswordToken(model.getUsername(), Md5Util.encode(model.getPassword()));

3、 调用subject的login方法

subject.login(token);

4、 自定义realm对象（认证|授权）

//用户认证通过 subject对象变为 认证通过
//将用户登陆信息存在session
User user = (User) subject.getPrincipal();

六、 完成EasyUITree菜单列表的显示功能

思路：菜单存在上下级关系（树形结构），通过easyUI提供的treegrid控件完成

实现步骤：

1、 将需要的数据导入到数据库

2、修改menu.jsp的treegird的url属性

 

url:'${pageContext.request.contextPath}/menuAction_findAll.action',

3、编写MenuAction 提供list 查询所有菜单的方法

只是查询没有父节点的所有子节点的信息

	@Action("menuAction_findAll")
	public String findAll() throws Exception {
		List<Menu> list = menuService.findAll(); 
		//把获取到的list集合转为json数据返回
		this.java2Json(list, new String[]{"roles", "childrenMenus", "parentMenu"});
		return NONE;
	}

@Service
@Transactional
public class MenuServiceImpl implements MenuService{
	@Autowired
	private MenuDao menuDao;
	
	@Override
	public List<Menu> findAll() {
		return menuDao.findByParentMenuIsNull();
	}
}

    4、编写Service和DAO

 

List<Menu> findByParentMenuIsNull();

七、 完成菜单数据的添加功能

思路：在列表显示的前提下完成添加

 

实现步骤：

1、 检查页面表单元素 name是否与实体类匹配

2、 父菜单项使用combotree展示

3、 为保存按钮绑定事件，提交表单

4、 在MenuAction 添加 save保存方法

5、 编写MenuService