shiro Realm以及相关对象

本文是对张开涛老师的shiro Realm以及相关对象教材、博客及代码的提炼 仅自己学习和项目集成使用 如有版权问题 请联系我删除 

张老师原贴：http://jinnianshilongnian.iteye.com/blog/2022468

一、Realm

1.1 Realm:提供待验证数据的比对值，即安全数据源。

自定义Realm类要实现Realm接口：

public class MyRealm1 implements Realm { 
	String getName(); //返回一个唯一的Realm名字  
	boolean supports(AuthenticationToken token); //判断此Realm是否支持此Token  
	AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)  
	 throws AuthenticationException;  //根据Token获取认证信息 
	 protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) //授权
 }

 

1.2 说明：

1.2.1、doGetAuthenticationInfo  获取身份验证相关信息

/1.2.2、doGetAuthorizationInfo  获取授权信息：PrincipalCollection 是一个身份集合。可以调用 getPrimaryPrincipal 等方法得到之前传入的用户名，再根据用户名调用 UserService 接口获取角色及权限信息

 

1.3分类：

org.apache.shiro.realm.text.IniRealm：[users]部分指定用户名/密码及其角色；[roles]部分指定角色即权限信息；

org.apache.shiro.realm.text.PropertiesRealm： user.username=password,role1,role2指定用户名/密码及其角色；role.role1=permission1,permission2指定角色及权限信息；

org.apache.shiro.realm.jdbc.JdbcRealm：通过sql查询相应的信息

….

 

二、Authenticator及AuthenticationStrategy

Authenticator：职责是验证用户帐号，是Shiro API中身份验证核心的入口点，如果验证成功，将返回AuthenticationInfo验证信息

AuthenticationStrategy：指定验证规则，包括但不限于FirstSuccessfulStrategy、AtLeastOneSuccessfulStrategy、AllSuccessfulStrategy：

 

三、Authorizer、PermissionResolver及RolePermissionResolver

1、Authorizer：

1.1 职责是进行授权（访问控制），是Shiro API中授权核心的入口点，其提供了相应的角色/权限判断接口。

1.2 SecurityManager继承了Authorizer接口，且提供了ModularRealmAuthorizer用于多Realm时的授权匹配。

2、PermissionResolver：PermissionResolver用于解析权限字符串到Permission实例

3、RolePermissionResolver：用于根据角色解析相应的权限集合

 

四、AuthenticationToken、AuthenticationInfo、PrincipalCollection

1、 AuthenticationToken接口用于收集用户提交的身份（如用户名）及凭据（如密码）

public interface AuthenticationToken extends Serializable {
Object getPrincipal(); //身份
Object getCredentials(); //凭据
}

常用实现类：UsernamePasswordToken

1、 AuthenticationInfo：

2.1身份验证信息类，有两个作用

2.1.1如果 Realm 是 AuthenticatingRealm 子类，则提供给 AuthenticatingRealm 内部使用的CredentialsMatcher 进行凭据验证； （如果没有继承它需要在自己的 Realm中自己实现验证）；

2.1.2提供给 SecurityManager 来创建 Subject（提供身份信息）。

2.2 常见子接口和实现类：MergableAuthenticationInfo、Account、SimpleAuthenticationInfo

2、 PrincipalCollection：用于聚合身份信息，通过getPrimaryPrincipal等方法获取验证成功的身份。

 

五、AuthorizationInfo

AuthorizationInfo 用于聚合授权信息

public interface AuthorizationInfo extends Serializable {
Collection<String> getRoles(); //获取角色字符串信息
Collection<String> getStringPermissions(); //获取权限字符串信息
Collection<Permission> getObjectPermissions(); //获取 Permission 对象信息
}

常用实现类：SimpleAuthorizationInfo

六、Subject

1、 Subject 是 Shiro 的核心对象，基本所有身份验证、授权都是通过 Subject 完成，一般的用法：

1.1身份信息获取

Object getPrincipal(); //Primary Principal PrincipalCollection getPrincipals(); // PrincipalCollection

1.2身份验证

void login(AuthenticationToken token) throws AuthenticationException; boolean isAuthenticated(); boolean isRemembered();

1.3角色/权限授权验证

hasRole*、checkRole*进行角色验证，isPermitted*、checkPermission*进行权限验证

1.4会话

Session getSession();

1.5退出

void logout();

1.6  RunAs、多线程：略

2、  Subject 自己不会实现相应的身份验证/授权逻辑，而是通过 DelegatingSubject 委托给SecurityManager 实现；及可以理解为 Subject 是一个面门。

3、  对于 Subject 的构建一般没必要我们去创建；一般通过 SecurityUtils.getSubject()获取。