shiro得基本使用

shiro简介

Apache Shiro 是Java 得一个安全框架功能强大,使用简单得Java 安全框架,它为开发人员提供一个直观而全面得认证,授权,加密以及会话管理得解决方案.Shiro可以运用在Java SE 和 JavaEE 环境中,可以帮助我们完成:认证,授权.加密.会话管理与web集成/缓存等;
必记得核心单词

凭证 Credential
认证 Authentication   身份认证/登陆
授权 Authorization    授权/权限验证
     Session Manager  会话管理 既用户登陆后就是一次会话;没有退出前,它得所有信息都存在绘会话中
     Cryptography     加密,保护数据得安全性
主体   Subject         代表了当前用户 
安全管理器   SecurityManager   shiro得核心 由apache 实现得  
域      Reaim     reaim 由我们处理  去数据库查询  (明文转换为密文)
								获取认证成功用户得权限

shiro 认证和授权

明确: 登陆要做得两件事
一: 认证 匹配用户得信息 让平台认识你
二: 授权 当前被认证得用户进入平台所拥有得权限 (进入平台能干什么)
传统方式

Controller 接收请求数据
调用Service 去数据库匹配 
根据返回结果处理  --->成功 存入session 域中    ----->失败  重新登陆 并提示

Shiro 自带10种过滤器 对应不同得java类,不过通过配置引用,我们可以使用一个万能过滤器
shiro-spring 引入这个坐标

shiro基本使用流程

一 :父级xml配置文件中引入坐标

  <!--  shiro-->
        <!--shiro和spring整合   这个 就可以使用万能过滤器了-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.3.2</version>
        </dependency>
        <!--shiro核心包-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>1.3.2</version>
        </dependency>
        <!--shiro的缓存坐标-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.3.2</version>
        </dependency>

二 : 在web.xml文件中进行配置 放置到spring容器中

<!-- Shiro Security filter  filter-name这个名字的值将来还会在spring中用到  -->
  <filter>
      <filter-name>shiroFilter</filter-name> <!-- 这里过滤器名称在spring配置文件中 还会用到 些什么就是什么  -->
      <!--DelegatingFilterProxy 这个就是spring提供得代理服务器  -->
      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
      <init-param>
          <param-name>targetFilterLifecycle</param-name>
          <param-value>true</param-value>
      </init-param>
  </filter>
  <filter-mapping>
      <filter-name>shiroFilter</filter-name>
      <url-pattern>/*</url-pattern>
  </filter-mapping>

三 : 导入shiro 得配置文件
cache/ehcache-shiro.xml 我当时得路径

<?xml version="1.0" encoding="UTF-8"?>
<ehcache updateCheck="false" name="shiroCache">

    <defaultCache
            maxElementsInMemory="10000"
            eternal="false"
            timeToIdleSeconds="120"
            timeToLiveSeconds="120"
            overflowToDisk="false"
            diskPersistent="false"
            diskExpiryThreadIntervalSeconds="120"
            />
</ehcache>

spring/applicationContext-shiro.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:aop="http://www.springframework.org/schema/aop"
       xmlns:context="http://www.springframework.org/schema/context"
       xmlns:jdbc="http://www.springframework.org/schema/jdbc" xmlns:tx="http://www.springframework.org/schema/tx"
       xmlns:task="http://www.springframework.org/schema/task"
       xsi:schemaLocation="
		http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
		http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop.xsd
		http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context.xsd
		http://www.springframework.org/schema/jdbc http://www.springframework.org/schema/jdbc/spring-jdbc.xsd
		http://www.springframework.org/schema/tx http://www.springframework.org/schema/tx/spring-tx.xsd">

    <description>Shiro与Spring整合</description>

   <!--使用redis作为缓存的配置-->
   <!--<bean id="redisManager" class="org.crazycake.shiro.RedisManager">
        <property name="host" value="127.0.0.1:6379"></property>
    </bean>
    <bean id="cacheManager" class="org.crazycake.shiro.RedisCacheManager">
        <property name="redisManager" ref="redisManager"></property>
    </bean>-->
    <!--<bean id="cacheManager" class="org.apache.shiro.cache.MemoryConstrainedCacheManager"></bean>-->

    <!--使用内存作为缓存的配置：ehcache-->
    <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <property name="cacheManagerConfigFile" value="classpath:cache/ehcache-shiro.xml"></property>
    </bean>

    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="authRealm"/><!-- 引用自定义的realm 没有继承类  或是(继承接口Realm ) 会爆红 -->
        <property name="cacheManager" ref="cacheManager"></property>
    </bean>


    <!-- 自定义Realm域的编写 -->
    <bean id="authRealm" class="com.itheima.web.shiro.AuthRealm">
        <!-- 注入自定义的密码比较器-->
        <property name="credentialsMatcher" ref="customerCredentialsMatcher" ></property>
    </bean>

    <!-- 自定义的密码比较器 -->
    <bean id="customerCredentialsMatcher" class="com.itheima.web.shiro.CustomCredentialsMatcher"></bean>

    <!-- filter-name这个名字的值来自于web.xml中filter的名字 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager"/>
        <!--登录页面  -->
        <property name="loginUrl" value="/login.jsp"></property>
        <!-- 无权访问页面 -->
        <property name="unauthorizedUrl" value="/unauthorized.jsp"></property>

        <property name="filterChainDefinitions">
            <!-- /**代表下面的多级目录也过滤 -->
            <value>
                <!--权限访问规则   这个地方利用注解比较省心  不然会写很长
                /company/list.do = perms["企业管理"]-->
                <!--匿名访问规则-->
                /index.jsp* = anon
                /login.jsp* = anon
                /login* = anon
                /logout* = anon
                /css/** = anon
                /img/** = anon
                /plugins/** = anon
                /make/** = anon
                <!--认证访问规则-->
                /** = authc,user
                /*.* = authc
            </value>
        </property>
    </bean>

    <!-- 保证实现了Shiro内部lifecycle函数的bean执行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>

    <!-- 生成代理，通过代理进行控制
         depends-on：指定当前类的创建时必须在指定bean的id后面创建
                     lifecycleBeanPostProcessor的创建要在DefaultAdvisorAutoProxyCreator之前
    -->
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
          depends-on="lifecycleBeanPostProcessor">
        <property name="proxyTargetClass" value="true"/>
    </bean>

    <!-- 安全管理器 -->
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>

    <!--动态代理的代理规则：使用目标类的子类创建代理对象，使用cglib-->
    <aop:aspectj-autoproxy proxy-target-class="true"/>

</beans>

标题

AuthRealm 自定义Realm域

/**
 * 自定义Realm域
 * 认证
 * 授权  鉴权
 */
public class AuthRealm extends AuthorizingRealm {
    @Override//授权  配合标签实现鉴权
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        return null;
    }

    @Override //认证
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        return null;
    }
}

具体用户登陆得代码

/**
 * 自定义Realm域
 * 认证
 * 授权  鉴权
 */
public class AuthRealm extends AuthorizingRealm {
    @Autowired
    private UserService userService;

    @Override//授权  配合标签实现鉴权
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        // 1. 取出认证成功得用户
        User user = (User)principalCollection.getPrimaryPrincipal();
        // 2. 查询该用户所具备得功能
        List<Module> list =  userService.findByIdModule(user.getId());
        // 3.创建返回值对象
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        // 4.按照返回值对象要求填充数据
        Set<String> set = new HashSet<>();
        for (Module module : list) {
            set.add(module.getName());
        }
        info.setStringPermissions(set);
        // 5.返回
        return info;
    }

    @Override //认证
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        UsernamePasswordToken uToken = (UsernamePasswordToken) token;
        String username = uToken.getUsername();
        char[] passwordL = uToken.getPassword();
        User user = userService.findByEmail(username);
        if (user != null) {
            //创建返回值对象   比较密码   调用自定义密码比较器  三参 用户对象 密文密码 当前Realm域名成
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), this.getName());
            return info;
        }
        return null;
    }
}

CustomCredentialsMatcher 自定义密码比较器

/**
 * 自定义密码比较器
 * @author 黑马程序员
 * @Company http://www.itheima.com
 */
public class CustomCredentialsMatcher extends SimpleCredentialsMatcher{
    /**
     * 比较密码：
     *     明文密码和密文密码比较
     *     结论：永远不会一样
     *     所以：
     *       要么把密文解密（不可以的，加密都是单向的）
     *       要么把明文加密
     *
     * 此方法要做的事情：
     *     1、取出明文密码
     *     2、取出密文密码
     *     3、把明文密码加密
     *     4、和密文密码比较
     * @param token  令牌中存着明文密码
     * @param info   认证信息中存着密文密码
     * @return
     */
    @Override
    public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
        //1.取出明文密码
        UsernamePasswordToken uToken = (UsernamePasswordToken)token;
        String email = uToken.getUsername();
        String password = new String(uToken.getPassword(),0,uToken.getPassword().length);
        //2.取出密文密码
        String dbPassword = (String)info.getCredentials();
        //3.把明文密码加密
        //        Md5Hash md5Hash = new Md5Hash(password, username, 1); //原始写法 加入其他元素 分散几次
//        byte[] bytes = md5Hash.getBytes();
//        String md5Password = new String(bytes);
        String md5Password = Encrypt.md5(password,email);  //这里使用得工具类
        //4.比较两个密码，并返回比较结果。当返回false时，会抛出异常。返回true表示密码校验成功。
        return md5Password.equals(dbPassword);
    }
}

登陆Controller 中
其他Controller

在这里插入代码片
```java
    @RequiresPermissions("企业管理") //基于注解得配置  有此权限才能访问
    @RequestMapping(name = "查看企业列表" ,value = "/list")
```java
 /**
     * shiro的登录方式
     * @param email
     * @param password
     * @return
     */
    @RequestMapping("/login")
    public String login(String email,String password) {
       try{
           //1.获取Subject主体信息
           Subject subject = SecurityUtils.getSubject();
           //2.获取令牌（就是把邮箱和密码套一个壳子）
           UsernamePasswordToken utoken = new UsernamePasswordToken(email,password);
           //3.调用subject的登录方法，把令牌提供给shiro的核心
           subject.login(utoken);
           //4.获取认证结果：获取到user对象，则表示认证成功。如果没有获取到shiro会直接抛异常
           User user = (User) subject.getPrincipal();
           //5.邮箱和密码都匹配上了，存入session域中
           session.setAttribute("user",user);
           //6.使用用户id查询用户可以操作的菜单集合
           List<Module> moduleList = userService.findUserMenus(user.getId());//它是通过一条语句实现的
           //7.存入会话域中
           session.setAttribute("modules",moduleList);
           //8.前往主页面
           return "home/main";//登录成功之后前往主页
       }catch (Exception e){
           //认证失败
           request.setAttribute("error","邮箱不存在或者密码不对!");
           return "forward:login.jsp";//forward:当有了之后不再使用视图解析器
       }
    }

在jsp页面中使用shiro权限标签 没有就不显示

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

   <shiro:hasPermission name="新增部门">
                                    <button type="button" class="btn btn-default" title="新建" onclick='location.href="${ctx}/system/dept/toAdd.do"'><i class="fa fa-file-o"></i> 新建</button>
                                </shiro:hasPermission>
                                <shiro:hasPermission name="删除部门">
                                    <button type="button" class="btn btn-default" title="删除" onclick='deleteById()'><i class="fa fa-trash-o"></i> 删除</button>
                                </shiro:hasPermission>
                                <shiro:hasPermission name="查看部门">
                                    <button type="button" class="btn btn-default" title="刷新" onclick="window.location.reload();"><i class="fa fa-refresh"></i> 刷新</button>
                                </shiro:hasPermission>