本文是对张开涛老师的shiro Realm以及相关对象教材、博客及代码的提炼 仅自己学习和项目集成使用 如有版权问题 请联系我删除
张老师原贴:http://jinnianshilongnian.iteye.com/blog/2022468
一、Realm
1.1 Realm:提供待验证数据的比对值,即安全数据源。
自定义Realm类要实现Realm接口:
public class MyRealm1 implements Realm {
String getName(); //返回一个唯一的Realm名字
boolean supports(AuthenticationToken token); //判断此Realm是否支持此Token
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException; //根据Token获取认证信息
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) //授权
}
1.2 说明:
1.2.1、doGetAuthenticationInfo 获取身份验证相关信息
/1.2.2、doGetAuthorizationInfo 获取授权信息:PrincipalCollection 是一个身份集合。可以调用 getPrimaryPrincipal 等方法得到之前传入的用户名,再根据用户名调用 UserService 接口获取角色及权限信息
1.3分类:
org.apache.shiro.realm.text.IniRealm:[users]部分指定用户名/密码及其角色;[roles]部分指定角色即权限信息;
org.apache.shiro.realm.text.PropertiesRealm: user.username=password,role1,role2指定用户名/密码及其角色;role.role1=permission1,permission2指定角色及权限信息;
org.apache.shiro.realm.jdbc.JdbcRealm:通过sql查询相应的信息
….
二、Authenticator及AuthenticationStrategy
Authenticator:职责是验证用户帐号,是Shiro API中身份验证核心的入口点,如果验证成功,将返回AuthenticationInfo验证信息
AuthenticationStrategy:指定验证规则,包括但不限于FirstSuccessfulStrategy、AtLeastOneSuccessfulStrategy、AllSuccessfulStrategy:
三、Authorizer、PermissionResolver及RolePermissionResolver
1、Authorizer:
1.1 职责是进行授权(访问控制),是Shiro API中授权核心的入口点,其提供了相应的角色/权限判断接口。
1.2 SecurityManager继承了Authorizer接口,且提供了ModularRealmAuthorizer用于多Realm时的授权匹配。
2、PermissionResolver:PermissionResolver用于解析权限字符串到Permission实例
3、RolePermissionResolver:用于根据角色解析相应的权限集合
四、AuthenticationToken、AuthenticationInfo、PrincipalCollection
1、 AuthenticationToken接口用于收集用户提交的身份(如用户名)及凭据(如密码)
public interface AuthenticationToken extends Serializable {
Object getPrincipal(); //身份
Object getCredentials(); //凭据
}
常用实现类:UsernamePasswordToken
1、 AuthenticationInfo:
2.1身份验证信息类,有两个作用
2.1.1如果 Realm 是 AuthenticatingRealm 子类,则提供给 AuthenticatingRealm 内部使用的CredentialsMatcher 进行凭据验证; (如果没有继承它需要在自己的 Realm中自己实现验证);
2.1.2提供给 SecurityManager 来创建 Subject(提供身份信息)。
2.2 常见子接口和实现类:MergableAuthenticationInfo、Account、SimpleAuthenticationInfo
2、 PrincipalCollection:用于聚合身份信息,通过getPrimaryPrincipal等方法获取验证成功的身份。
五、AuthorizationInfo
AuthorizationInfo 用于聚合授权信息
public interface AuthorizationInfo extends Serializable {
Collection<String> getRoles(); //获取角色字符串信息
Collection<String> getStringPermissions(); //获取权限字符串信息
Collection<Permission> getObjectPermissions(); //获取 Permission 对象信息
}
常用实现类:SimpleAuthorizationInfo
六、Subject
1、 Subject 是 Shiro 的核心对象,基本所有身份验证、授权都是通过 Subject 完成,一般的用法:
1.1身份信息获取
Object getPrincipal(); //Primary Principal PrincipalCollection getPrincipals(); // PrincipalCollection |
1.2身份验证
void login(AuthenticationToken token) throws AuthenticationException; boolean isAuthenticated(); boolean isRemembered(); |
1.3角色/权限授权验证
hasRole*、checkRole*进行角色验证,isPermitted*、checkPermission*进行权限验证 |
1.4会话
Session getSession(); |
1.5退出
void logout(); |
1.6 RunAs、多线程:略
2、 Subject 自己不会实现相应的身份验证/授权逻辑,而是通过 DelegatingSubject 委托给SecurityManager 实现;及可以理解为 Subject 是一个面门。
3、 对于 Subject 的构建一般没必要我们去创建;一般通过 SecurityUtils.getSubject()获取。