Shiro学习_02（认证）

Shiro身份验证

• 认证: 判断一个用户是否为合法用户的处理过程。即提供用户名和密码，检验是否与数据库存储的用户名密码一致。

Shrio中认证的管家对象

• Subject:主体

访问系统的用户

• Principal:身份信息

身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。
一个主体可以有多个principals，但只有一个Primary principals,一般是用户名/密码/手机号

• Credential:凭证信息

证明 / 凭证，即只有主体知道的安全值，如密码 / 数字证书等。

认证流程

使用加密认证（MD5+Salt+Hash）

MD5加密

package com.shiro.util;

import org.apache.shiro.crypto.hash.Md5Hash;

import java.util.UUID;

public class TestShiroMD5 {
    public static void main(String[] args) {
        // 可以使用uuid作为盐值
        String uuid = UUID.randomUUID().toString().replace("-", "");
        System.out.println("UUID: "+uuid);
        // 使用md5 + salt + hash散列（参数代表要散列多少次，一般是 1024或2048）
        Md5Hash md5Hash2 = new Md5Hash("123456", uuid, 1024);
        System.out.println(md5Hash2.toHex());
    }
}

• 输出

UUID: 3e451cd1bce14b5e86588a13559c83d6
094aa06418bda3cbb3cb61c875e6c5a9

自定义加密的Realm

package com.shiro.realm;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.util.ByteSource;


/**
 * 使用自定义realm 加入md5 + salt +hash
 */
public class CustomerMd5Realm extends AuthorizingRealm {

    /**
     * 授权
     *
     * @param principals
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        return null;
    }

    /**
     * 认证
     *
     * @param token
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 获取token中的用户名和密码
        String principal = (String) token.getPrincipal();
        String credentials = new String((char[]) token.getCredentials());

        // 模拟数据库查询到的信息
        String username = "shiro";
        // 密码使用MD5生成加密后的密码”123456“
        String password = "094aa06418bda3cbb3cb61c875e6c5a9";
        // 使用uuid生成的值作为盐值
        String salt = "3e451cd1bce14b5e86588a13559c83d6";

        // 根据用户名查询数据库
        if (username.equals(principal)) {
            /**
             * 依次传入：账号信息、加密后的密码、密码加密的盐值、当前realm对象的name
             */
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(principal
                    , password
                    , ByteSource.Util.bytes(salt)
                    , this.getName());

            return simpleAuthenticationInfo;
        }
        return null;
    }
}

使用加密Realm认证

package com.shiro.test;

import com.shiro.realm.CustomerMd5Realm;
import lombok.extern.slf4j.Slf4j;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authc.credential.HashedCredentialsMatcher;
import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.subject.Subject;

@Slf4j
public class TestCustomerMd5RealmAuthenicator {

    public static void main(String[] args) {
        // 1.创建安全管理员
        DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
        // 2.注入realm
        CustomerMd5Realm realm = new CustomerMd5Realm();
        // 3.设置realm使用hash凭证匹配器
        HashedCredentialsMatcher credentialsMathcher = new HashedCredentialsMatcher();
        // 设置使用的算法
        credentialsMathcher.setHashAlgorithmName("md5");
        // 设置散列次数
        credentialsMathcher.setHashIterations(1024);

        realm.setCredentialsMatcher(credentialsMathcher);
        defaultSecurityManager.setRealm(realm);

        // 4.将安全管理器注入安全工具
        SecurityUtils.setSecurityManager(defaultSecurityManager);
        // 5.通过安全工具类获取subject
        Subject subject = SecurityUtils.getSubject();
        // 6.认证
        UsernamePasswordToken token = new UsernamePasswordToken("shiro", "123456");

        try {
            subject.login(token);
            log.info("登录成功");
        } catch (UnknownAccountException e) {
            e.printStackTrace();
            log.error("用户名错误");
        } catch (IncorrectCredentialsException e) {
            e.printStackTrace();
            log.error("密码错误");
        }
    }
}

未加密

自定义Realm

package com.shiro.realm;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

/**
 * 自定义Realm
 */
public class CustomerRealm extends AuthorizingRealm {

    /**
     * 授权
     *
     * @param principals
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        return null;
    }

    /**
     * 认证
     *
     * @param token
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 从token中获取用户名
        String principal = (String) token.getPrincipal(); //得到用户名
        String credentials = new String((char[])token.getCredentials()); //得到密码
        System.out.println(principal);
        System.out.println(credentials);

        // 在实际开发中，用户身份信息是从数据库中查询的
        // 假设从数据库中获取了用户名和密码
        String username = "shiro";
        String password = "123456";

        if (username.equals(principal)) {
            /**
             * principal: 数据库的用户名
             * password: 数据库的密码
             * this.getName(): 提供当前realm的名字
             */
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(principal
                    , password
                    , this.getName());

            return simpleAuthenticationInfo;
        }
        return null;
    }
}

使用未加密Realm认证

package com.shiro.test;

import com.shiro.realm.CustomerRealm;
import lombok.extern.slf4j.Slf4j;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.subject.Subject;

/**
 * 测试自定义的Realm
 */
@Slf4j
public class TestAuthenticatorCusttomerRealm {

    public static void main(String[] args) {
        // 1.创建安全管理对象securityManager
        DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
        // 2.给安全管理器设置realm（设置为自定义realm获取认证数据）
        defaultSecurityManager.setRealm(new CustomerRealm());
        // 3.给安装工具类中设置默认安全管理器
        SecurityUtils.setSecurityManager(defaultSecurityManager);
        // 4.获取主体对象subject
        Subject subject = SecurityUtils.getSubject();
        // 5.创建token令牌
        UsernamePasswordToken token = new UsernamePasswordToken("shiro", "123456");

        try {
            // 用户登录
            subject.login(token);
            log.info("登陆成功");
        } catch (UnknownAccountException e) {
            e.printStackTrace();
            log.error("用户名或密码错误");
        }
    }
}