一、授权
1、授权:给身份认证通过的人,授予他可以访问某些资源的权限。
2、权限粒度:分为粗粒度和细粒度。
粗粒度:对user的crud。也就是说通常对表的操作。
细粒度:是对记录的操作。如:只允许查询id为1的user的工资。
Shiro一般管理的是粗粒度的权限。比如:菜单,按钮,url。一般细粒度的权限是通过业务来控制的。
3、角色:权限的集合。
4、权限表示规则:资源:操作:实例。可以用通配符表示:
如:user:add 表示对user有添加的权限,user:* 表示对user具有所有操作的权限。
user:delete:100,表示对user标识为100的记录有删除的权限。
5、Shiro中的权限流程
6、编码实现
(1)新建java项目
(2)编辑shiro.ini配置文件
[users]
zhangsan=1111,role1
lisi=1111,role2
[roles]
role1=user:add,user:update,user:delete
role2=user:*
(3)编码测试
package com.sun123.shiro;
import java.util.Arrays;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
public class AuthorizationDemo {
public static void main(String[] args) {
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "1111");
try {
//认证
subject.login(token);
} catch (AuthenticationException e) {
e.printStackTrace();
System.out.println("认证不通过");
}
//基于角色的授权
boolean flag = subject.hasRole("role2");
System.out.println(flag);
//判断是否具有多个角色
subject.hasRoles(Arrays.asList("role1","role2"));
//可以通过checkRole来检测是否具有某个角色,如果不具有该角色,则抛出AuthorizerException
//subject.checkRole("role2");
//也就可以同时检测多个角色
//subject.checkRoles("role1","role2");
//基于资源的授权
flag = subject.isPermitted("user:delete");
System.out.println(flag);
//判断是否具有多个权限
flag = subject.isPermittedAll("user:add","user:update","user:delete");
System.out.println(flag);
//通过checkPermission检测认证用户是否具有某个权限,如果没有,则抛出异常
subject.checkPermission("user:dd");
}
}
7、Shiro中的权限检查方式有3种
(1)编程式
if(subject.hasRole("管理员")){
//操作某个资源
}
(2)注解式
在执行指定的方法时,会检测是否具有该权限
@RequiresRoles("管理员")
public void list(){
//查询数据
}
(3)标签
<%@ page language="java" contentType="text/html; charset=ISO-8859-1"
pageEncoding="ISO-8859-1"%>
<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags"%>
<!DOCTYPE html>
<html>
<head>
<meta charset="ISO-8859-1">
<title>Insert title here</title>
</head>
<body>
<shiro:hasPermission name="user:update">
<a href="#">更新</a>
</shiro:hasPermission>
</body>
</html>
8、授权流程
(1)获取subject主体
(2)判断主体是否通过认证
(3)调用subject.isPermitted*,或者hasRole*来进行权限判断
① Subject是由其实现类DelegatingSubject来调用方法的,该类将处理交给了securityManager
② securityManager是由其实现类DefaultSecurityManager来进行处理,该类的isPermitted来处理,其本质父类AuthorizingSecurityManager来处理的,该类将调用authorizer(授权器)处理。
③ Authorizer由其实现类ModularRealmAuthorizer来处理该类可以调用对应的Realm来获取数据,在该类有PermissionResolver对权限字符串进行解析,在对应的Realm中也有对应的PermissionResolver交给WildcardPermissionResolver该类调用WildcardPermission来进行权限字符串的解析。
④ 返回处理结果。
二、自定义Realm实现授权
1、仅仅通过配置文件来指定权限不够灵活,并且不方便,在实际的应用中大多数情况下都是将用户信息,角色信息,权限信息保存到了数据库中。所以需要从数据库中去获取相关的数据信息。可以使用shiro提供的JdbcRealm来实现,也可以自定义Realm来实现。使用JdbcRealm往往也不够灵活。所以在实际应用中大多数情况下都是自定义realm来实现。
2、自定义Realm需要继承AuthorizingRealm,代码如下:
package com.sun123.realm;
import java.util.ArrayList;
import java.util.List;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
public class UserRealm extends AuthorizingRealm {
/**
* 自定义realm的实现 该realm类提供了两个方法
* doGetAuthorizationInfo 获取认证信息
* doGetAuthenticationInfo 获取权限信息
*/
@Override
public String getName() {
// 自定义
return "userRealm";
}
// 完成身份认证,并且返回认证信息
// 如果身份认证失败,返回null
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
// 获取用户输入的用户名
String username = (String) token.getPrincipal();// 获取身份信息
System.out.println("username:" + username);
// 根据用户名到数据库查询密码信息——模拟
// 假定从数据库获取的密码为1111
String pwd = "1111";
// 将从数据库中查询的信息封装到SimpleAuthenticationInfo中
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, pwd, getName());
return info;
}
// 授权的信息
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal) {
String username = principal.getPrimaryPrincipal().toString();
System.out.println("授权————————————————————————");
System.out.println("username==========="+username);
//根据用户名到数据库查询该用户对应的信息——————模拟
List<String> permission = new ArrayList<String>();
permission.add("user:add");
permission.add("user:delete");
permission.add("user:update");
permission.add("user:find");
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
for (String perms : permission) {
info.addStringPermission(perms);
}
return info;
}
}
shiro.ini
[main]
userRealm=com.sun123.realm.UserRealm
securityManager.realm=$userRealm
#在realm中给定了用户信息,该用户信息可以不用配置
[users]
zhangsan=1111
测试代码:
package com.sun123.shiro;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.util.Factory;
//java.lang中有SecurityManager的包,需要改成Apache的
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
public class UserRealmDemo {
public static void main(String[] args) {
// 1、创建SecurityManager工厂,读取相应的配置文件
Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
// 2、通过SecurityManager工厂获取SecurityManager的实例
SecurityManager securityManager = factory.getInstance();
// 3、将securityManager对象设置到运行环境中
SecurityUtils.setSecurityManager(securityManager);
// 4、通过SecurityUtils获取主体Subject
Subject subject = SecurityUtils.getSubject();
// 5、加入登录的用户名zhangsan和1111,这个地方的zhangsan和1111表示用户登录时输入的信息
// 而shiro.ini文件中的信息相当于数据库中存放的信息
// UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "111");
UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "1111");
try {
// 6、进行用户身份验证
subject.login(token);
// 7、通过subject来判断用户是否通过验证
if (subject.isAuthenticated()) {
System.out.println("验证通过");
}
} catch (UnknownAccountException e) {// AuthenticationException为父异常 Ctrl+T看子异常
System.out.println("用户名/密码不正确");
} catch (IncorrectCredentialsException e) {// AuthenticationException为父异常 Ctrl+T看子异常
System.out.println("用户名或密码不正确");
}
System.out.println(subject.isPermittedAll("user:add","user:delete"));
}
}