Springboot整合Shiro

最新推荐文章于 2022-04-08 13:41:26 发布
最新推荐文章于 2022-04-08 13:41:26 发布
阅读量129 收藏
点赞数
分类专栏： SpringBoot 学习笔记 文章标签： shiro spring boot java 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/je_rry/article/details/115001517
版权

Springboot整合Shiro

一、准备工作

1、创建Spring Boot项目并导入依赖

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.4.1</version>
</dependency>

2、Shiro三大核心：

  • subject
  • securityManager
  • realm

配置流程

配置顺序：从下往上配置

先自定义 realm 需要继承AuthorizationRealm，重写授权和认证方法

subject 需要在登录的时候进行传输，只需要传输一次，全局都能使用了

二、开始试水：

1、完整的pom依赖（不连接数据库）

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.4.3</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.jerry</groupId>
    <artifactId>shiro</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>shiro</name>
    <description>Demo project for Spring Boot</description>
    <properties>
        <java.version>1.8</java.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>org.thymeleaf</groupId>
            <artifactId>thymeleaf-spring5</artifactId>
        </dependency>
        <!-- https://mvnrepository.com/artifact/org.apache.shiro/shiro-spring -->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.4.1</version>
        </dependency>
        <!-- https://mvnrepository.com/artifact/org.projectlombok/lombok -->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.18.18</version>
            <scope>provided</scope>
        </dependency>
        <dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-java8time</artifactId>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>
    
</project>
  • 这里导入thyme leaf 作为前端交互界面，方便看清认证和授权效果

2、编写接口

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;

@Controller
public class MyController {

    @RequestMapping({"/","index"})
    public String toIndex(Model model){
        model.addAttribute("msg","hello,shiro");
        return "index";
    }

    @RequestMapping("/user/add")
    public String add(){
        return "user/add";
    }

    @RequestMapping("/user/update")
    public String update(){
        return "user/update";
    }

    @RequestMapping("toLogin")
    public String toLogin(){
        return "login";
    }

    @RequestMapping("/login")
    public String login(String username,String password,Model model){
        //获取当前的用户
        Subject subject = SecurityUtils.getSubject();
        //封装用户数据
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        //执行登录方法
        try {
            subject.login(token);
            return "index";
        } catch (UnknownAccountException e) {
            model.addAttribute("msg","用户名错误");
            return "login";
        }catch (IncorrectCredentialsException e){
            model.addAttribute("msg","密码错误");
            return "login";
        }
    }

    @RequestMapping("/unauth")
    @ResponseBody
    public String unauthorized(){
        return "未授权";
    }
}

3、准备前端界面

  • index.html
<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>首页</h1>

<p th:text="${msg}"></p>
<hr>

<a th:href="@{/user/add}">add</a> | <a th:href="@{/user/update}">update</a>
</body>
</html>
  • login.html
<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>登录</h1>
<form th:action="@{/login}">
    <p th:text="${msg}" style="color: red"></p>
    <p>用户名：<input type="text" name="username"></p>
    <p>密码：<input type="text" name="password"></p>
    <p><input type="submit"></p>
</form>
</body>
</html>
  • add.html
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>add</h1>
</body>
</html>
  • update.html
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>update</h1>
</body>
</html>

注意add和update放在user目录（路径下）

4、创建自定义Realm

  • UserRealm.java
import com.jerry.shiro.pojo.User;
import com.jerry.shiro.service.UserService;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.springframework.beans.factory.annotation.Autowired;

public class UserRealm extends AuthorizingRealm {

    @Autowired
    private UserService userService;


    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

        System.out.println("执行了授权");
        //此处给用户授权

        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();

        //这里给每个用户都添加了add权限
        info.addStringPermission("user:add");

        //拿到当前登录的用户
        Subject subject = SecurityUtils.getSubject();
        //拿到User对象信息
        User currentUser = (User) subject.getPrincipal();
        info.addStringPermission(currentUser.getAuth());

        return info;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("执行认证============");

        //假设一个单一用户
        String name = "admin";
        String password = "123456";
        UsernamePasswordToken userToken = (UsernamePasswordToken) token;
        if (!userToken.getUsername().equals(name)){
            return null;		//return null 相当于给上层抛出异常
        }
        return new SimpleAuthenticationInfo("",password,"");
    }
}

5、配置Shiro

  • 创建ShiroConfig.java
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.LinkedHashMap;
import java.util.Map;

@Configuration
public class ShiroConfig {

    //ShiroFilterFactoryBean
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("manager") DefaultWebSecurityManager defaultWebSecurityManager){
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultWebSecurityManager);

        //添加shiro内置过滤器
        /*
        anon：无需认证就可以访问
        authc：必须认证了才能访问
        user：必须拥有 记住我 才能使用
        perms：拥有某个资源的权限 才能访问
        role：拥有某个角色权限才能访问
        * */
        Map<String,String> filterChainDefinitionMap = new LinkedHashMap<>();

        filterChainDefinitionMap.put("/user/upadte","perms[user:update]");
        
		//需要认证才可访问
        filterChainDefinitionMap.put("/user/**","authc");
        
        bean.setFilterChainDefinitionMap(filterChainDefinitionMap);

        //设置默认的登录页面
        bean.setLoginUrl("/toLogin");
        //设置无权限跳转
        bean.setUnauthorizedUrl("/unauth");

        return bean;
    }

    //DefaultWebSecurityManager
    @Bean(name = "manager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //关联userRealm
        securityManager.setRealm(userRealm);
        return securityManager;
    }

    //Realm需要自定义
    @Bean(name = "userRealm")
    public UserRealm userRealm(){
        return new UserRealm();
    }

}
  • 到这里,不连接数据库的Shiro配置已经结束了,当访问add和update界面时,先会执行认证过程，若未认证（登录），则会跳转至登录界面；当访问update界面，会执行授权过程,如果没有权限,会跳转到无权限界面。

三、真实开发

  • 真实开发肯定需要连接数据库，动态实现权限配置和认证过程

1、添加pom依赖（数据库工具）

<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>8.0.23</version>
</dependency>
<!-- https://mvnrepository.com/artifact/com.alibaba/druid -->
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>druid</artifactId>
    <version>1.2.5</version>
</dependency>
<!-- https://mvnrepository.com/artifact/org.mybatis.spring.boot/mybatis-spring-boot-starter -->
<dependency>
    <groupId>org.mybatis.spring.boot</groupId>
    <artifactId>mybatis-spring-boot-starter</artifactId>
    <version>2.1.4</version>
</dependency>
<!-- https://mvnrepository.com/artifact/org.projectlombok/lombok -->
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <version>1.18.18</version>
    <scope>provided</scope>
</dependency>

2、application.yml配置（略）

3、添加用户实体类

  • User.java
package com.jerry.shiro.pojo;

import lombok.AllArgsConstructor;
import lombok.Data;
import lombok.NoArgsConstructor;

@Data
@AllArgsConstructor
@NoArgsConstructor
public class User {

    private int id;

    private String name;

    private String password;

    private String auth;

}

4、UserMapper.java、UserMapper.xml、UserServiceImpl.java

这些比较简单就省略了

5、UserService.java

import com.jerry.shiro.pojo.User;

public interface UserService {

    User queryUserByName(String name);

}

6、修改ShiroConfig中的过滤内容

import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.LinkedHashMap;
import java.util.Map;

@Configuration
public class ShiroConfig {

    //ShiroFilterFactoryBean
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("manager") DefaultWebSecurityManager defaultWebSecurityManager){
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultWebSecurityManager);

        //添加shiro内置过滤器
        /*
        anon：无需认证就可以访问
        authc：必须认证了才能访问
        user：必须拥有 记住我 才能使用
        perms：拥有某个资源的权限 才能访问
        role：拥有某个角色权限才能访问
        * */
        Map<String,String> filterChainDefinitionMap = new LinkedHashMap<>();

        //需要授权才能访问user/add页面
        filterChainDefinitionMap.put("/user/add","perms[user:add]");
        filterChainDefinitionMap.put("/user/update","perms[user:update]");
        filterChainDefinitionMap.put("/user/**","authc");
        bean.setFilterChainDefinitionMap(filterChainDefinitionMap);

        bean.setLoginUrl("/toLogin");
        bean.setUnauthorizedUrl("/unauth");

        return bean;
    }

    //DefaultWebSecurityManager
    @Bean(name = "manager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //关联userRealm
        securityManager.setRealm(userRealm);
        return securityManager;
    }

    //Realm需要自定义
    @Bean(name = "userRealm")
    public UserRealm userRealm(){
        return new UserRealm();
    }

}

7、修改UserRealm中单一的数据，添加连接真实数据库部分

import com.jerry.shiro.pojo.User;
import com.jerry.shiro.service.UserService;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.subject.Subject;
import org.springframework.beans.factory.annotation.Autowired;

public class UserRealm extends AuthorizingRealm {

    @Autowired
    private UserService userService;


    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

        System.out.println("执行了授权");
        //此处给用户授权

        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //拿到当前登录的用户
        Subject subject = SecurityUtils.getSubject();
        //拿到User对象信息
        User currentUser = (User) subject.getPrincipal();
        info.addStringPermission(currentUser.getAuth());

        return info;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("执行认证============");

        //获取当前用户

        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        //连接真实数据库
        User user = userService.queryUserByName(userToken.getUsername());
        System.out.println(user);
        if (user == null){ //没有这个用户
            return null;
        }
        //密码认证Shiro会做

        //返回值中的user是为了获取授权信息使用的
        return new SimpleAuthenticationInfo(user,user.getPassword(),"");
    }
}
  • 至此，真实生产环境中的认证和动态授权过程就可以实现了

以上是我本人的实际操作过程，欢迎各位大佬交流学习和批评指正。中间的简单的部分我偷懒省略了，如有需要可以留言

je_rry
关注
专栏目录
SpringBoot系列之YAML配置用法学习笔记
Nicky's blog
11-03 8559
SpringBoot的全局配置文件有两种： application.properties application.yml 配置文件的作用：修改SpringBoot自动配置的默认值，主要是默认值，因为SpringBoot启动时会自动加载很多默认配置，详细的可以参考我之前博客源码学习系列之SpringBoot自动配置 YAML ...
SpringBoot集成Shiro的步骤
m0_50725078的博客
09-14 549
SpringBoot集成Shiro的步骤
shiro学习笔记四：shiro拦截器与url匹配规则
chunlulin2540的博客
08-17 1939
综合实例：基于shiro的按钮级别的权限管理系统 一、使用场景举例 注：shiro过滤器与url匹配规则一般使用在定义的shiroFilter中，用于对指定的资源进行过滤 二、URL匹配规则 （1）“?”：匹配一个字符，如”/admin?”，将匹配“ /admin...
Springboot整合shiro（及yaml配置形式）
web18296061989的博客
04-08 442
1.shiro是什么 Shiro是Apache下的一个开源项目。shiro属于轻量级框架，相对于SpringSecurity简单的多，也没有SpringSecurity那么复杂。以下是我自己学习之后的记录。 官方架构图如下： 2.主要功能 shiro主要有三大功能模块： 1. Subject：主体，一般指用户。 2. SecurityManager：安全管理器，管理所有Subject，可以配合内部安全组件。(类似于SpringMVC中的DispatcherServlet) 3. Realms：用于进行权限
Springboot整合shiro
keroiky的博客
02-19 599
1.首先理解shiro的三大核心要素：subject 用户、securityManager 管理所有用户、realm 连接数据库 2.idea创建springboot项目，导入shiro依赖 <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <ver
Spring Boot整合Shiro搭建权限管理系统
03-10
Spring Boot整合Shiro搭建的一套简单的权限管理系统，里面介绍了Shiro的基本用法，里面附上了代码，环境需要自己搭建（里面有图说明怎么搭建环境的），里面的代码直接复制粘贴就可以运行。感谢大家下载！
SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录
06-19
SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录 SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录 SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录 ...
SpringBoot_Shiro_JWT_Redis:SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新
05-14
SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新 前端代码为一个博客页面，使用了Semantic UI框架结合thymeleaf模板 SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权 [TOC] 一、引言 ​ ...
springboot整合shiro
03-30
**SpringBoot整合Shiro**是将流行的Java Web框架Spring Boot与安全管理框架Apache Shiro结合，以构建高效、安全的Web应用程序。Spring Boot以其简洁的配置和快速的开发体验深受开发者喜爱，而Shiro则提供了全面的...
Springboot整合Shiro的代码实例
08-25
Springboot 整合 Shiro 的代码实例 Springboot 整合 Shiro 的代码实例是指在 Springboot 项目中集成 Shiro 框架来实现身份验证和授权管理的过程。Shiro 是一个功能强大且灵活的身份验证和授权框架，可以帮助开发者...
什么是Shiro权限框架？
qq_55298336的博客
04-12 249
Shiro 权限框架 先来了解下什么是Shiro 能干嘛？： Shiro可以完成:认证、加密、授权、会话管理、与Web集成、缓存等 1，Authentication 身份认证/登录，验证用户是不是拥有相应的身份； 2， Authorization 授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用 户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用 户对某个资源是否具有某个权限； 3， Session Manager 会话管理，即用户登录后就是一次会话，在没有退
深入Spring Boot (四)：YAML属性配置文件使用详解
weixin_34248487的博客
03-05 2567
Spring Boot弱化配置的特性让属性配置文件的使用也更加便捷，它默认支持对application.properties或application.yml属性配置文件处理，即在application.properties或application.yml文件中添加属性配置，可以使用@Value注解将属性值注入到beans中，或使用@ConfigurationProperties注解将属性值绑定到结...
SpringBoot 整和 shiro 把拦截路径提出到配置文件中
chaletan的博客
07-21 1万+
SpringBoot整合 Shiro 安全框架，把Shiro 参数提出到 配置文件的方法。
springboot + shiro的配置
尹小鱼的博客
03-20 9632
第一次写博客好紧张，为了使自己使用过的技术不被忘记，在此将一些配置方法记下来，方便自己复习 呵呵 今天写的是springboot+shiro的配置 首先需要在application.yml的配置文件中加入shiro的配置文件路径，方便项目启动时就能找到shiro配置文件的位置写法如下： # Shiro shiro: configLocation: classpath:/ehcac
SpringBoot中application.yml基本配置详情
热门推荐
zhulan316917864的博客
12-12 1万+
把原有的application.properties删掉。然后 maven -X clean install，或者通过Maven Project双击clean和install (1)端口服务配置 #端口，项目上下文根 server: port: 8080 servlet: context-path: /hotel 其中context-path: /hotel可以不用配置 如果配置...
一起来学SpringBoot（十六）优雅的整合Shiro
fulinlin的博客
10-14 4005
Apache Shiro是一个功能强大且易于使用的Java安全框架，可执行身份验证，授权，加密和会话管理。借助Shiro易于理解的API，您可以快速轻松地保护任何应用程序 - 从最小的移动应用程序到最大的Web和企业应用程序。网上找到大部分文章都是以前SpringMVC下的整合方式，很多人都不知道shiro提供了官方的starter可以方便地跟SpringBoot整合。 请看shiro官网关于sp...
springboot 整合 shiro
最新发布
08-20
在Spring Boot中整合Shiro，需要进行以下几个步骤: 1. 在application.properties文件中配置Shiro相关的属性，如服务器端口号、上下文路径、视图前缀和后缀等。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [SpringBoot之整合Shiro(最详细)](https://blog.csdn.net/m0_67392273/article/details/125243717)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值