shiro原理的分析,系统权限管理以及 运行流程分析

一、概述

1、shiro是apache的一个开源框架,是一个权限管理的框架,实现 用户认证、用户授权。

2、(1)spring中有spring security (原名Acegi),是一个权限框架,它和spring依赖过于紧密,没有shiro使用简单。

     (2) shiro不依赖于spring,shiro不仅可以实现 web应用的权限管理,还可以实现c/s系统,分布式系统权限管理,shiro属于轻量框架,越来越多企业项目开始使用shiro。

     (3)使用shiro实现系统的权限管理,有效提高开发效率,从而降低开发成本

二、Shiro架构分析


2、对以上内容解释

subject:主体,可以是用户也可以是程序,主体要访问系统,系统需要对主体进行认证、授权。

 

securityManager:安全管理器,主体进行认证和授权都是通过securityManager进行。

 

authenticator:认证器,主体进行认证最终通过authenticator进行的。

 

authorizer:授权器,主体进行授权最终通过authorizer进行的。

 

sessionManager:web应用中一般是用web容器对session进行管理,shiro也提供一套session管理的方式。

SessionDao:  通过SessionDao管理session数据,针对个性化的session数据存储需要使用sessionDao。

 

cache Manager:缓存管理器,主要对session和授权数据进行缓存,比如将授权数据通过cacheManager进行缓存管理,和ehcache整合对缓存数据进行管理。

 

realm:域,领域,相当于数据源,通过realm存取认证、授权相关数据。

  注意:在realm中存储授权和认证的逻辑。

 cryptography:密码管理,提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等功能。

比如 md5散列算法。


三、认证过程



认证执行流程

1、通过ini配置文件创建securityManager

2、调用subject.login方法主体提交认证,提交的token

3、securityManager进行认证,securityManager最终由ModularRealmAuthenticator进行认证。

4、ModularRealmAuthenticator调用IniRealm(给realm传入token) 去ini配置文件中查询用户信息

5、IniRealm根据输入的token(UsernamePasswordToken)从 shiro.ini查询用户信息,根据账号查询用户信息(账号和密码)

         如果查询到用户信息,就给ModularRealmAuthenticator返回用户信息(账号和密码)

         如果查询不到,就给ModularRealmAuthenticator返回null

6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息

         如果返回的认证信息是null,ModularRealmAuthenticator抛出异常(org.apache.shiro.authc.UnknownAccountException

         如果返回的认证信息不是null(说明inirealm找到了用户),对IniRealm返回用户密码 (在ini文件中存在)

         和 token中的密码 进行对比,如果不一致抛出异常(org.apache.shiro.authc.IncorrectCredentialsException


授权流程:




1、对subject进行授权,调用方法isPermitted"permission"

2SecurityManager执行授权,通过ModularRealmAuthorizer执行授权

3ModularRealmAuthorizer执行realm(自定义的Realm)从数据库查询权限数据

调用realm的授权方法:doGetAuthorizationInfo

 

4realm从数据库查询权限数据,返回ModularRealmAuthorizer

5ModularRealmAuthorizer调用PermissionResolver进行权限串比对

6、如果比对后,isPermitted"permission"realm查询到权限数据中,说明用户访问permission串有权限,否则 没有权限,抛出异常。

详细概述Shiro分析介绍

     1.简介      

 

        常用的Java EE安全框架有shiro、spring security。shiro被应用非常广泛,可以集成cas,搭建单点登录系统。spring security则被认为比较重,应用没有shiro广泛。shiro提供用户名、密码验证,及密码的加密存储,会话Session的管理,与web集成,支持HTTPS的拦截。

  2.Shiro原理简析

  

shiro原理剖析:

         shiro的核心是javaservlet规范中的filter,通过配置拦截器,使用拦截器链来拦截请求,如果允许访问,则通过。通常情况下,系统的登录、退出会配置拦截器。登录的时候,调用subject.login(token),token是用户验证信息,这个时候会在Realm中doGetAuthenticationInfo方法中进行认证。这个时候会把用户提交的验证信息与数据库中存储的认证信息进行比较,一致则允许访问,并在浏览器种下此次回话的cookie,在服务器端存储session信息。退出的时候,调用subject.logout(),会清除回话信息。

   

         shiro中核心概念介绍:

           Filter:

                  1.AnonymousFilter:通过此filter修饰的url,任何人都可以进行访问,即使没有进行权限认证

                   2.FormAuthenticationFilter:通过此filter修饰的url,会对请求的url进行验证,如果没有通过,则会重定向返回到loginurl

                3.BasicHttpAuthenticationFilter:通过此filter修饰的url,要求用户已经通过认证,如果没有通过,则会要求通过Authorization 信息进行认证

                 4.LogoutFilter:通过此filter修饰的url,一旦收到url请求,则会立即调用subject进行退出,并重定向到redirectUrl

               5.NoSessionCreationFilter:通过此filter修饰的url,不会创建任何会话

                 6.PermissionAuthorizationFilter:权限拦截器,验证用户是否具有相关权限

              7.PortFilter:端口拦截器,不是通过制定端口访问url,将自动将端口重定向到指定端口

                 8.HttpMethodPermissionFilter:rest风格拦截器,配置rest的访问方式

                 9.RolesAuthorizationFilter:角色拦截器,未登陆,将跳转到loginurl,未授权,将跳转到unauthorizedUrl

                10.SslFilter:HTTPS拦截器,需要以HTTPS的方式进行访问

                11.UserFilter:用户拦截器,需要用户已经认证,或已经remember me

        Subject:

               表示当前操作的主体用户,是一个抽象的概念,Subject可以进行登录、退出、权限判断等动作,通常一个subject与一个线程进行关联。


      Realm:

               表示验证的数据源,存储用户的安全数据,可以进行用户名和密码的匹配,及用户权限查询。


 

  3.Shiro配置方法

.  

shiro配置方法:

  1. <?xml version="1.0" encoding="UTF-8"?>  
  2. <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
  3.        xmlns:util="http://www.springframework.org/schema/util"  
  4.        xsi:schemaLocation="http://www.springframework.org/schema/beans  
  5.             http://www.springframework.org/schema/beans/spring-beans-4.0.xsd  
  6.             http://www.springframework.org/schema/util http://www.springframework.org/schema/util/spring-util.xsd  
  7.             http://www.springframework.org/schema/aop  
  8.             http://www.springframework.org/schema/aop/spring-aop-4.0.xsd  
  9.             http://www.springframework.org/schema/context  
  10.             http://www.springframework.org/schema/context/spring-context-4.0.xsd  
  11.             http://www.springframework.org/schema/tx  
  12.             http://www.springframework.org/schema/tx/spring-tx-4.0.xsd">  
  13.   
  14.     <description>Apache Shiro Security Configuration</description>  
  15.   
  16.     <!-- Realm实现 -->  
  17.     <bean id="userRealm" class="com.ttyc.mammon.service.shiro.UserRealm">  
  18.         <property name="cachingEnabled" value="false"/>  
  19.     </bean>  
  20.   
  21.     <!-- 会话ID生成器 -->  
  22.     <bean id="sessionIdGenerator" class="org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator"/>  
  23.   
  24.     <!-- 会话Cookie模板 -->  
  25.     <bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">  
  26.         <constructor-arg value="sid"/>  
  27.         <property name="domain" value=".ttyongche.com"/>  
  28.         <property name="path" value="/"/>  
  29.         <property name="httpOnly" value="false"/>  
  30.         <property name="maxAge" value="-1"/>  
  31.     </bean>  
  32.   
  33.     <!-- 会话DAO -->  
  34.     <bean id="sessionDAO" class="org.crazycake.shiro.RedisSessionDAO">  
  35.         <property name="sessionIdGenerator" ref="sessionIdGenerator"/>  
  36.         <property name="redisManager" ref="redisManager"/>  
  37.     </bean>  
  38.   
  39.     <!-- 会话管理器 -->  
  40.     <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">  
  41.         <property name="globalSessionTimeout" value="1800000"/>  
  42.         <property name="deleteInvalidSessions" value="true"/>  
  43.         <property name="sessionDAO" ref="sessionDAO"/>  
  44.         <property name="sessionIdCookieEnabled" value="true"/>  
  45.         <property name="sessionIdCookie" ref="sessionIdCookie"/>  
  46.     </bean>  
  47.   
  48.     <!-- 安全管理器 -->  
  49.     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">  
  50.         <property name="realm" ref="userRealm"/>  
  51.         <property name="sessionManager" ref="sessionManager"/>  
  52.         <property name="cacheManager" ref="redisCacheManager"/>  
  53.     </bean>  
  54.   
  55.     <!-- 相当于调用SecurityUtils.setSecurityManager(securityManager) -->  
  56.     <bean class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">  
  57.         <property name="staticMethod" value="org.apache.shiro.SecurityUtils.setSecurityManager"/>  
  58.         <property name="arguments" ref="securityManager"/>  
  59.     </bean>  
  60.   
  61.     <bean id="authFilter" class="com.ttyc.mammon.controller.filter.AuthFilter"/>  
  62.     <bean id="permissionFilter" class="com.ttyc.mammon.controller.filter.PermissionFilter"/>  
  63.   
  64.     <!-- Shiro的Web过滤器 -->  
  65.     <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
  66.         <property name="securityManager" ref="securityManager"/>  
  67.         <property name="loginUrl" value="/login"/>  
  68.         <property name="filters">  
  69.             <util:map>  
  70.                 <entry key="auth" value-ref="authFilter"/>  
  71.                 <entry key="perm" value-ref="permissionFilter"/>  
  72.             </util:map>  
  73.         </property>  
  74.         <property name="filterChainDefinitions">  
  75.             <value>  
  76.                 /** = auth  
  77.             </value>  
  78.         </property>  
  79.     </bean>  
  80.   
  81.     <!-- Shiro生命周期处理器-->  
  82.     <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>  
  83.   
  84.     <!-- cacheManager -->  
  85.     <bean id="redisCacheManager" class="org.crazycake.shiro.RedisCacheManager">  
  86.         <property name="redisManager" ref="redisManager" />  
  87.     </bean>  
  88.   
  89.     <!-- shiro redisManager -->  
  90.     <bean id="redisManager" class="com.ttyc.mammon.service.shiro.RedisManager">  
  91.         <property name="host" value="${redis.host}" />  
  92.         <property name="port" value="${redis.port}" />  
  93.         <property name="expire" value="${redis.expire}" />  
  94.         <property name="dataBase" value="${redis.database}" />  
  95.     </bean>  
  96.   
  97. </beans>  

 

30.     Pom依赖:

31.    <shiro.version>1.2.2</shiro.version>

32.    <shiro.redis.version>2.4.2.1-RELEASE</shiro.redis.version>

33. [html] view plain copy

  1. <dependency>  
  2.             <groupId>org.apache.shiro</groupId>  
  3.             <artifactId>shiro-core</artifactId>  
  4.             <version>${shiro.version}</version>  
  5.         </dependency>  
  6.         <dependency>  
  7.             <groupId>org.apache.shiro</groupId>  
  8.             <artifactId>shiro-web</artifactId>  
  9.             <version>${shiro.version}</version>  
  10.         </dependency>  
  11.         <dependency>  
  12.             <groupId>org.apache.shiro</groupId>  
  13.             <artifactId>shiro-spring</artifactId>  
  14.             <version>${shiro.version}</version>  
  15.         </dependency>  
  16.         <dependency>  
  17.             <groupId>org.crazycake</groupId>  
  18.             <artifactId>shiro-redis</artifactId>  
  19.             <version>${shiro.redis.version}</version>  
  20.         </dependency>  

 

34.     UserRealm:

35.     继承AuthorizingRealm,重写doGetAuthorization和doGetAuthorication方法。

36. [java] view plain copy

  1. @Override  
  2.     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {  
  3.         String username = (String)principals.getPrimaryPrincipal();  
  4.         SysUser user = getUserByName(username);  
  5.         SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();  
  6.   
  7.         SysRole sysRole = sysRolePermService.getSysRoleByUserId(user.getId());  
  8.         addRole(authorizationInfo,sysRole);  
  9.         List<SysPermission> sysPermissions = sysRolePermService.getSysPermissionByUserId(user.getId());  
  10.         addPermissions(authorizationInfo,sysPermissions);  
  11.         return authorizationInfo;  
  12.     }  
  13.   
  14.     @Override  
  15.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {  
  16.   
  17.         String username = (String)token.getPrincipal();  
  18.   
  19.         SysUser user = getUserByName(username);  
  20.   
  21.         //交给AuthenticatingRealm使用CredentialsMatcher进行密码匹配,如果觉得人家的不好可以自定义实现  
  22.         if (user != null){  
  23.             return new SimpleAuthenticationInfo(user.getUserName(),"", getName());  
  24.         }  
  25.         return null;  
  26.     }  

 

37.    AuthFilter:

38. AuthFilter继承AccessControllerFilter,需要重写isAccessAllowed和onAccessDenied方法

39.  

40. [java] view plain copy

  1. @Override  
  2.     protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {  
  3.         HttpServletRequest httpRequest = (HttpServletRequest)request;  
  4.         HttpServletResponse httpResponse = (HttpServletResponse)response;  
  5.   
  6.         //支持跨域  
  7.         supportCrossDomain(httpResponse);  
  8.   
  9.         // 对外API,通过Service-Token进行认证  
  10.         String url = httpRequest.getRequestURI().substring(httpRequest.getContextPath().length());  
  11.         if (url.startsWith(HTTP_API_URL)) {  
  12.             if (validateSign(httpRequest.getHeader("Service-Token"))) {  
  13.                 return true;  
  14.             }  
  15.             else {  
  16.                 return false;  
  17.             }  
  18.         }  
  19.   
  20.         //运营后台通过cookie,token,sid进行认证  
  21.         Subject currentSubject = SecurityUtils.getSubject();  
  22.         if (! currentSubject.isAuthenticated()){  
  23.             SysUser sysTokenUser = loginAuthService.validTokenAuth((HttpServletRequest) request);  
  24.             SysUser sysCookieUser = loginAuthService.validCookieAuth((HttpServletRequest) request);  
  25.   
  26.             if (sysTokenUser == null && sysCookieUser == null){  
  27.                 return false;  
  28.             }  
  29.             SysUser sysUser = null;  
  30.             if (sysTokenUser != null){  
  31.                 sysUser = sysTokenUser;  
  32.             }else {  
  33.                 sysUser = sysCookieUser;  
  34.             }  
  35.   
  36.             UsernamePasswordToken token = new UsernamePasswordToken(sysUser.getUserName(),"");  
  37.             currentSubject.login(token);  
  38.             Session session = currentSubject.getSession();  
  39.             session.setAttribute("LoginUser",sysUser);  
  40.         }  
  41.   
  42.         //在request里设置登录用户  
  43.         SysUser currentUser = (SysUser) currentSubject.getSession().getAttribute("LoginUser");  
  44.         request.setAttribute("loginId", currentUser.getId());  
  45.   
  46.         return true;  
  47.     }  
  48.   
  49.     @Override  
  50.     protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {  
  51.         response.setContentType("application/json; charset=utf-8");  
  52.         response.getWriter().write(json);  
  53.   
  54.         return false;  
  55.     }  

 

41.  

42.    RedisManager:

43. shiro原生不支持redis,只支持ehcache,ehcache只能单机缓存,不适合于大型集群应用。第三方crazycake支持shiro使用redis缓存,配置方式如下:

44.  

45. [java] view plain copy

  1. import redis.clients.jedis.Jedis;  
  2. import redis.clients.jedis.JedisPool;  
  3. import redis.clients.jedis.JedisPoolConfig;  
  4.   
  5. import java.util.Set;  
  6.   
  7. public class RedisManager extends org.crazycake.shiro.RedisManager {  
  8.   
  9.     private String host = "127.0.0.1";  
  10.   
  11.     private int port = 6379;  
  12.   
  13.     // 0 - never expire  
  14.     private int expire = 0;  
  15.   
  16.     // timeout for jedis try to connect to redis server, not expire time! In  
  17.     // milliseconds  
  18.     private int timeout = 0;  
  19.   
  20.     private String password = "";  
  21.   
  22.     private int dataBase;  
  23.   
  24.     private static JedisPool jedisPool = null;  
  25.   
  26.     public RedisManager() {  
  27.   
  28.     }  
  29.   
  30.     /** 
  31.      * 初始化方法 
  32.      */  
  33.     public void init() {  
  34.         if (jedisPool == null) {  
  35.             if (password != null && "".equals(password.trim())) {  
  36.                 password = null;  
  37.             }  
  38.             jedisPool = new JedisPool(new JedisPoolConfig(), host, port, timeout, password, dataBase);  
  39.         }  
  40.     }  
  41.   
  42.     /** 
  43.      * get value from redis 
  44.      *  
  45.      * @param key 
  46.      * @return 
  47.      */  
  48.     public byte[] get(byte[] key) {  
  49.         byte[] value = null;  
  50.         Jedis jedis = jedisPool.getResource();  
  51.         try {  
  52.             value = jedis.get(key);  
  53.         } finally {  
  54.             jedis.close();  
  55.         }  
  56.         return value;  
  57.     }  
  58.   
  59.     /** 
  60.      * set 
  61.      *  
  62.      * @param key 
  63.      * @param value 
  64.      * @return 
  65.      */  
  66.     public byte[] set(byte[] key, byte[] value) {  
  67.         Jedis jedis = jedisPool.getResource();  
  68.         try {  
  69.             jedis.set(key, value);  
  70.             if (this.expire != 0) {  
  71.                 jedis.expire(key, this.expire);  
  72.             }  
  73.         } finally {  
  74.             jedis.close();  
  75.         }  
  76.         return value;  
  77.     }  
  78.   
  79.     /** 
  80.      * set 
  81.      *  
  82.      * @param key 
  83.      * @param value 
  84.      * @param expire 
  85.      * @return 
  86.      */  
  87.     public byte[] set(byte[] key, byte[] value, int expire) {  
  88.         Jedis jedis = jedisPool.getResource();  
  89.         try {  
  90.             jedis.set(key, value);  
  91.             if (expire != 0) {  
  92.                 jedis.expire(key, expire);  
  93.             }  
  94.         } finally {  
  95.             jedis.close();  
  96.         }  
  97.         return value;  
  98.     }  
  99.   
  100.     /** 
  101.      * del 
  102.      *  
  103.      * @param key 
  104.      */  
  105.     public void del(byte[] key) {  
  106.         Jedis jedis = jedisPool.getResource();  
  107.         try {  
  108.             jedis.del(key);  
  109.         } finally {  
  110.             jedis.close();  
  111.         }  
  112.     }  
  113.   
  114.     /** 
  115.      * flush 
  116.      */  
  117.     public void flushDB() {  
  118.         Jedis jedis = jedisPool.getResource();  
  119.         try {  
  120.             jedis.flushDB();  
  121.         } finally {  
  122.             jedis.close();  
  123.         }  
  124.     }  
  125.   
  126.     /** 
  127.      * size 
  128.      */  
  129.     public Long dbSize() {  
  130.         Long dbSize = 0L;  
  131.         Jedis jedis = jedisPool.getResource();  
  132.         try {  
  133.             dbSize = jedis.dbSize();  
  134.         } finally {  
  135.             jedis.close();  
  136.         }  
  137.         return dbSize;  
  138.     }  
  139.   
  140.     /** 
  141.      * keys 
  142.      *  
  143.      * @param pattern 
  144.      * @return 
  145.      */  
  146.     public Set<byte[]> keys(String pattern) {  
  147.         Set<byte[]> keys = null;  
  148.         Jedis jedis = jedisPool.getResource();  
  149.         try {  
  150.             keys = jedis.keys(pattern.getBytes());  
  151.         } finally {  
  152.             jedis.close();  
  153.         }  
  154.         return keys;  
  155.     }  
  156.   
  157.     public String getHost() {  
  158.         return host;  
  159.     }  
  160.   
  161.     public void setHost(String host) {  
  162.         this.host = host;  
  163.     }  
  164.   
  165.     public int getPort() {  
  166.         return port;  
  167.     }  
  168.   
  169.     public void setPort(int port) {  
  170.         this.port = port;  
  171.     }  
  172.   
  173.     public int getExpire() {  
  174.         return expire;  
  175.     }  
  176.   
  177.     public void setExpire(int expire) {  
  178.         this.expire = expire;  
  179.     }  
  180.   
  181.     public int getTimeout() {  
  182.         return timeout;  
  183.     }  
  184.   
  185.     public void setTimeout(int timeout) {  
  186.         this.timeout = timeout;  
  187.     }  
  188.   
  189.     public String getPassword() {  
  190.         return password;  
  191.     }  
  192.   
  193.     public void setPassword(String password) {  
  194.         this.password = password;  
  195.     }  
  196.   
  197.     public int getDataBase() {  
  198.         return dataBase;  
  199.     }  
  200.   
  201.     public void setDataBase(int dataBase) {  
  202.         this.dataBase = dataBase;  
  203.     }  
  204.   

 

 



评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

天问运

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值