1_shiro介绍与实践

一、权限管理之身份认证与授权

权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。

1.1 什么是身份认证

身份认证，就是判断一个用户是否为合法用户的处理过程。最常用的简单身份认证方式是系统通过核对用户输入的用户名和口令，看其是否与系统中存储的该用户的用户名和口令一致，来判断用户身份是否正确。对于采用指纹等系统，则出示指纹；对于硬件Key等刷卡系统，则需要刷卡。

1.2 什么是授权

授权，即访问控制，控制谁能访问哪些资源。主体进行身份认证后需要分配权限方可访问系统的资源，对于某些资源没有权限是无法访问的

二、Shiro权限认证

2.1 shiro介绍

Shiro是一个功能强大且易于使用的Java安全框架，它执行身份验证、授权、加密和会话管理。使用Shiro易于理解的API，可以快速轻松地保护任何应用程序—从最小的移动应用程序到最大的web和企业应用程序。Shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。

2.2 shiro架构

 

2.2.1 Subject

Subject即主体，外部应用与subject进行交互，subject记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。 Subject在shiro中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权

2.2.2 SecurityManager

SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。

2.2.3 Authenticator

Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。

2.2.4 Authorizer

Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

2.2.5 Realm

Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

2.2.6 SessionManager

sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

2.2.7 SessionDAO

SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。

2.2.8 CacheManager

CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

2.2.9 Cryptography

Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

三、Shiro的认证

身份认证，就是判断一个用户是否为此系统的用户。最简单的身份认证就是核对用户输入的用户名和密码，和系统中存储的该用户的用户名和密码一致来判断是否是正常用户。

1.1 shiro中认证的关键对象

Subject：主体

访问系统的用户，主体可以是用户、程序等，进行认证的都称为主体；

Principal：身份信息【一般是用户名】

是主体（subject）进行身份认证的标识，标识必须具有唯一性，如用户名、手机号、邮箱地址等，一个主体可以有多个身份，但是必须有一个主身份（Primary Principal）。

credential：凭证信息【一般是密码】

是只有主体自己知道的安全信息，如密码、证书等。

1.2 依赖

<dependency>
  <groupId>org.apache.shiro</groupId>
  <artifactId>shiro-spring-boot-starter</artifactId>
  <version>1.5.3</version>
</dependency>

1.3 自定义realm之认证

public class CustomerRealm extends AuthorizingRealm {
    @Autowired
    private UserService userService;

    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        return null;
    }

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        //token为前端输入的用户名和密码组成
        String username = (String) token.getPrincipal();
        User exist = userService.getUserByUsername(User.builder().name(username).build());
        if (exist == null) return null;
        
        //参数1:principal数据库中正确的用户名   //参数2:数据库中此用户存的正确密码  //参数3:提供当前realm的名字【this.getName()则用底层提供的默认的Realm名字】
        //SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username,"123456", this.getName());
        
        //参数1：principal；参数2:数据库的密码；参数3：数据库的盐；参数4：此自定义reaml的名字(取默认给的)
        SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username, exist.getPassword(), ByteSource.Util.bytes(exist.getSalt()), this.getName());
        return simpleAuthenticationInfo;
    }
}

1.4 使用安全管理器认证

public static void main(String[] args) {
    //1.创建安全管理器对象
    DefaultSecurityManager securityManager = new DefaultSecurityManager();
    //2.给安全管理器设置realm
    //这是从ini文件中获取realm
    //securityManager.setRealm(new IniRealm("classpath:shiro.ini")); //传入从配置文件读取的Realm
    
     CustomerRealm1 customerRealm1 = new CustomerRealm1(); //传入自定义的realm
     //设置md5加密【对传入的密码，进行md5和加盐后计算，再和从数据库中查出的md5后的内容比较】
    HashedCredentialsMatcher credentialsMatcher = new HashedCredentialsMatcher();
    credentialsMatcher.setHashAlgorithmName("MD5");
    credentialsMatcher.setHashIterations(1024); //设置散列次数
    customerRealm1.setCredentialsMatcher(credentialsMatcher); //为realm设置凭证(密码)匹配器
    securityManager.setRealm(customerRealm1); //为安全管理器设置自定义realm

    //3.给全局安全工具类SecurityUtils设置安全管理器
    SecurityUtils.setSecurityManager(securityManager);
    //4.获取当前登录的主体对象 subject主体
    Subject subject = SecurityUtils.getSubject();
    //5.前端用户输入的账号和密码构成token令牌
    UsernamePasswordToken token = new UsernamePasswordToken("James","123456");

    try{
        System.err.println("认证状态: "+ subject.isAuthenticated()); //此时为false
        subject.login(token); //进行用户认证
        System.err.println("认证状态: "+ subject.isAuthenticated()); //此时为true
    }catch (UnknownAccountException e){
        System.err.println("认证失败: 用户名不存在~");
    }catch (IncorrectCredentialsException e){
        System.err.println("认证失败: 密码错误~");
    }

    //认证完成后进行授权
    if (subject.isAuthenticated()){
        //是否具有指定角色
        boolean user = subject.hasRole("user");

        //列举的角色中哪些是拥有的
        boolean[] booleans = subject.hasRoles(Lists.newArrayList("admin", "user", "super"));

        //是否具有指定的所有角色
        boolean b = subject.hasAllRoles(Lists.newArrayList("user", "admin"));

        //指定的权限中哪些是此subject所具有的
        boolean[] permitted = subject.isPermitted("权限1", "权限2", "权限3");

        //是否具有某个权限
        boolean permitted1 = subject.isPermitted("user:update:*");

        //是否具有指定的所有权限
        boolean permittedAll = subject.isPermittedAll("user:update:*", "product1:*:*");
    }
}

四、shiro的授权

授权即访问控制，控制用户能访问哪些资源，不能访问哪些资源或者接口。主体完成身份认证后需要分配权限方可访问系统的资源。

4.1 授权流程

Who，即主体（Subject），主体需要访问系统中的资源。

What，即资源（Resource)，如系统菜单、页面、按钮、类方法、系统商品信息等。资源包括资源类型和资源实例，比如商品信息为资源类型，类型为t01的商品为资源实例，编号为001的商品信息也属于资源实例。

How，权限/许可（Permission)，规定了主体对资源的操作许可，权限离开资源没有意义，如用户查询权限、用户添加权限、某个类方法的调用权限、编号为001用户的修改权限等，通过权限可知主体对哪些资源都有哪些操作许可。

 4.2 自定义授权

    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        String primaryPrincipal = (String) principals.getPrimaryPrincipal();
        System.out.println("身份信息:"+primaryPrincipal);

        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
        simpleAuthorizationInfo.addRole("admin"); //为授权设置角色
        simpleAuthorizationInfo.addRole("user");
        simpleAuthorizationInfo.addStringPermission("user:update:*"); //为授权设置权限
        simpleAuthorizationInfo.addStringPermission("product:*:*");

        return simpleAuthorizationInfo;
    }

4.3 使用安全管理器查看授权

public static void main(String[] args) {
    //创建securityManager
    DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();
    CustomerRealm customerRealm = new CustomerRealm();
    //设置md5加密
    HashedCredentialsMatcher credentialsMatcher = new HashedCredentialsMatcher();
    credentialsMatcher.setHashAlgorithmName("MD5");
    credentialsMatcher.setHashIterations(1024);//设置散列次数
    customerRealm.setCredentialsMatcher(credentialsMatcher);
    defaultSecurityManager.setRealm(customerRealm);
    //将安装工具类中设置默认安全管理器
    SecurityUtils.setSecurityManager(defaultSecurityManager);
    //获取主体对象
    Subject subject = SecurityUtils.getSubject();
    //创建token令牌
    UsernamePasswordToken token = new UsernamePasswordToken("xiaochen", "123");
    try {
        subject.login(token);//用户登录
        System.out.println("登录成功~~");
    } catch (UnknownAccountException e) {
        System.out.println("用户名错误!!");
    }catch (IncorrectCredentialsException e){
        System.out.println("密码错误!!!");
    }
    
    //认证通过
    if(subject.isAuthenticated()){
        //基于角色权限管理
        boolean admin = subject.hasRole("admin");
        System.out.println(admin);

        boolean permitted = subject.isPermitted("product:create:001");
        System.out.println(permitted);
    }
}