Shiro认证-SSM

在 shiro 中，用户需要提供principals （身份）和credentials（凭证）给shiro，从而应用能验证用户身份。即帐号/密码

示例：

1.添加依赖：

添加日志配置 

 <!-- **********************  日志配置  ********************** -->
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>${slf4j.version}</version>
    </dependency>
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>jcl-over-slf4j</artifactId>
      <version>${slf4j.version}</version>
      <scope>runtime</scope>
      <exclusions>
        <exclusion>
          <artifactId>slf4j-api</artifactId>
          <groupId>org.slf4j</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <!--2) 用于与slf4j保持桥接-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-slf4j-impl</artifactId>
      <version>${log4j2.version}</version>
      <exclusions>
        <exclusion>
          <artifactId>slf4j-api</artifactId>
          <groupId>org.slf4j</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <!--3) 核心log4j2jar包-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-api</artifactId>
      <version>${log4j2.version}</version>
    </dependency>
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-core</artifactId>
      <version>${log4j2.version}</version>
    </dependency>
    <!--4) web工程需要包含log4j-web，非web工程不需要-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-web</artifactId>
      <version>${log4j2.version}</version>
      <scope>runtime</scope>
    </dependency>
    <!--5) 需要使用log4j2的AsyncLogger需要包含disruptor-->
    <dependency>
      <groupId>com.lmax</groupId>
      <artifactId>disruptor</artifactId>
      <version>${log4j2.disruptor.version}</version>
    </dependency>

 ​​​​​​​

2.自定义Realm

Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。
  最基础的是Realm接口，CachingRealm负责缓存处理，AuthenticationRealm负责认证，AuthorizingRealm负责授权。

  通常自定义的realm继承AuthorizingRealm

  注1：体系结构见“shiro提供的realm.png”

  AuthorizationInfo：授权信息
  AuthenticationInfo：认证信息

 

3.编写登录的Mapper 

 

 

 

 实现登录方法

 

4.Spring与Shiro集成

  1) 配置自定义Realm
  <bean id="shiroRealm" class="com.zking.ssm.book.shiro.ShiroRealm">
      //注入UserService实现类，通过账号密码登录时实现基于Shiro身份认证识别
      //盐加密算法配置，详见7.2
  </bean>

  2) 注册安全管理器
  将自定义的Realm设置到Shiro的SecurityManager中，在Shiro授权和认证时使用自定义的Realm数据源进行校验

  <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
      <property name="realm" ref="shiroRealm" />
  </bean>

  3) 配置Shiro核心过滤器
  Shiro核心过滤器用于拦截请求，通过给定的授权认证机制对用户访问身份和权限进行认证识别
  详见“Shiro核心过滤器配置.txt”
  
  filterChainDefinitions Shiro过滤链定义类型：
  (1) anon，authcBasic，auchc，user是认证过滤器 
  (2) perms，roles，ssl，rest，port是授权过滤器

  <!--anon 表示匿名访问，不需要认证以及授权-->
  <!--authc表示需要认证 没有进行身份认证是不能进行访问的-->
  <!--roles[admin]表示角色认证，必须是拥有admin角色的用户才行-->
  <!--user表示用户不一定已通过认证,只要曾被Shiro记住过登录状态的用户就可以正常发起请求,比如rememberMe-->
  <!--perms表示指定过滤规则，这个一般是扩展使用，不会使用原生的-->
  <!--port表示请求的URL端口验证-->
  <!--ssl表示安全的URL请求,协议为https-->
  <!--rest表示根据请求的方法，如post、get、delete等-->

5.配置Shiro生命周期

  <!-- Shiro生命周期，保证实现了Shiro内部lifecycle函数的bean执行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>

6.修改web.xml文件，添加shiroFilter的配置

 注：使用的代理类DelegatingFilterProxy

 <!-- shiro过滤器定义 -->
  <filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    <init-param>
      <!-- 该值缺省为false,表示生命周期由SpringApplicationContext管理,设置为true则表示由ServletContainer管理 -->
      <param-name>targetFilterLifecycle</param-name>
      <param-value>true</param-value>
    </init-param>
  </filter>
  <filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

7.实现Shiro身份认证登录

  //用户登录
  public String login(请求参数){
     ...
     //关键代码
     Subject subject=SecurityUtils.getSubject(); 
     UsernamepasswordToken token=new UsernamepasswordToken(
         账号,
         密码
     );
     subject.login(token);
     ...
  }
 
  //退出登录
  public String logout(){
     ...
     //关键代码
     Subject subject=SecurityUtils.getSubject(); 
     subject.logout();
     ...
  }

7.盐加密

  7.1 生成加密密码PasswordHelper类（盐加密）
  
  MD5+散列1024+Hex/Base64

  7.2 修改applicationContext-shirod的自定义Realm配置，增加以下：

  <!--配置Shiro明文密码如何进行加密-->
  <!--注意：重要的事情说三次~~~~~~此处加密方式要与用户注册时的算法一致 -->
  <!--注意：重要的事情说三次~~~~~~此处加密方式要与用户注册时的算法一致 -->
  <!--注意：重要的事情说三次~~~~~~此处加密方式要与用户注册时的算法一致 -->
  <!--以下三个配置告诉shiro将如何对用户传来的明文密码进行加密-->
  <property name="credentialsMatcher">
     <bean id="credentialsMatcher" class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
        <!--指定hash算法为MD5-->
        <property name="hashAlgorithmName" value="md5"/>
        <!--指定散列次数为1024次-->
        <property name="hashIterations" value="1024"/>    
        <!--true指定Hash散列值使用Hex加密存. false表明hash散列值用用Base64-encoded存储-->
        <property name="storedCredentialsHexEncoded" value="true"/>
     </bean>
  </property>