Shiro权限管理框架学习(二) 授权

最新推荐文章于 2023-04-11 14:01:08 发布

席剑啊~

最新推荐文章于 2023-04-11 14:01:08 发布

阅读量132

点赞数

分类专栏： shiro安全框架

本文链接：https://blog.csdn.net/m2606707610/article/details/102403638

版权

shiro安全框架专栏收录该内容

3 篇文章 0 订阅

订阅专栏

一、授权

1、授权：给身份认证通过的人，授予他可以访问某些资源的权限。

2、权限粒度：分为粗粒度和细粒度。

　　粗粒度：对user的crud。也就是说通常对表的操作。

　　细粒度：是对记录的操作。如：只允许查询id为1的user的工资。

　　Shiro一般管理的是粗粒度的权限。比如：菜单，按钮，url。一般细粒度的权限是通过业务来控制的。

3、角色：权限的集合。

4、权限表示规则：资源：操作：实例。可以用通配符表示：

　　如：user:add 表示对user有添加的权限，user:* 表示对user具有所有操作的权限。

　　　　user:delete:100，表示对user标识为100的记录有删除的权限。

5、Shiro中的权限流程

6、编码实现

　　（1）新建java项目

　　（2）编辑shiro.ini配置文件

[users]
zhangsan=1111,role1
lisi=1111,role2

[roles]
role1=user:add,user:update,user:delete
role2=user:*

（3）编码测试

package com.sun123.shiro;

import java.util.Arrays;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;

public class AuthorizationDemo {

    public static void main(String[] args) {
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);
        Subject subject = SecurityUtils.getSubject();
        
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "1111");
        
        try {
            //认证
            subject.login(token);
        } catch (AuthenticationException e) {
            e.printStackTrace();
            System.out.println("认证不通过");
        }
        
        //基于角色的授权
        boolean flag = subject.hasRole("role2");
        System.out.println(flag);
        //判断是否具有多个角色
        subject.hasRoles(Arrays.asList("role1","role2"));
        //可以通过checkRole来检测是否具有某个角色，如果不具有该角色，则抛出AuthorizerException
        //subject.checkRole("role2");
        //也就可以同时检测多个角色
        //subject.checkRoles("role1","role2");
        //基于资源的授权
        flag = subject.isPermitted("user:delete");
        System.out.println(flag);
        
        //判断是否具有多个权限
        flag = subject.isPermittedAll("user:add","user:update","user:delete");
        System.out.println(flag);
        //通过checkPermission检测认证用户是否具有某个权限，如果没有，则抛出异常
        subject.checkPermission("user:dd");
        
    }
}

7、Shiro中的权限检查方式有3种

　　（1）编程式

if(subject.hasRole("管理员")){
    //操作某个资源    

}

　　（2）注解式　　

在执行指定的方法时，会检测是否具有该权限

@RequiresRoles("管理员")
public void list(){
    //查询数据

}

　　（3）标签

<%@ page language="java" contentType="text/html; charset=ISO-8859-1"
    pageEncoding="ISO-8859-1"%>
<%@taglib prefix="shiro" uri="http://shiro.apache.org/tags"%>
<!DOCTYPE html>
<html>
<head>
<meta charset="ISO-8859-1">
<title>Insert title here</title>
</head>
<body>
    <shiro:hasPermission name="user:update">
        <a href="#">更新</a>
    </shiro:hasPermission>
</body>
</html>

8、授权流程

　　（1）获取subject主体

　　（2）判断主体是否通过认证

　　（3）调用subject.isPermitted*，或者hasRole*来进行权限判断

　　　　　① Subject是由其实现类DelegatingSubject来调用方法的，该类将处理交给了securityManager

　　　　　② securityManager是由其实现类DefaultSecurityManager来进行处理，该类的isPermitted来处理，其本质父类AuthorizingSecurityManager来处理的，该类将调用authorizer（授权器）处理。

　　　　　③ Authorizer由其实现类ModularRealmAuthorizer来处理该类可以调用对应的Realm来获取数据，在该类有PermissionResolver对权限字符串进行解析，在对应的Realm中也有对应的PermissionResolver交给WildcardPermissionResolver该类调用WildcardPermission来进行权限字符串的解析。

　　　　　④ 返回处理结果。

二、自定义Realm实现授权

1、仅仅通过配置文件来指定权限不够灵活，并且不方便，在实际的应用中大多数情况下都是将用户信息，角色信息，权限信息保存到了数据库中。所以需要从数据库中去获取相关的数据信息。可以使用shiro提供的JdbcRealm来实现，也可以自定义Realm来实现。使用JdbcRealm往往也不够灵活。所以在实际应用中大多数情况下都是自定义realm来实现。

2、自定义Realm需要继承AuthorizingRealm，代码如下：

package com.sun123.realm;

import java.util.ArrayList;
import java.util.List;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

public class UserRealm extends AuthorizingRealm {

    /**
     * 自定义realm的实现    该realm类提供了两个方法
     * doGetAuthorizationInfo    获取认证信息
     * doGetAuthenticationInfo    获取权限信息
     */
    @Override
    public String getName() {
        // 自定义
        return "userRealm";
    }

    // 完成身份认证，并且返回认证信息
    // 如果身份认证失败，返回null
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        // 获取用户输入的用户名
        String username = (String) token.getPrincipal();// 获取身份信息
        System.out.println("username:" + username);
        // 根据用户名到数据库查询密码信息——模拟
        // 假定从数据库获取的密码为1111
        String pwd = "1111";
        // 将从数据库中查询的信息封装到SimpleAuthenticationInfo中
        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, pwd, getName());
        return info;
    }

    // 授权的信息
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal) {
        String username = principal.getPrimaryPrincipal().toString();
        System.out.println("授权————————————————————————");
        System.out.println("username==========="+username);
        //根据用户名到数据库查询该用户对应的信息——————模拟
        List<String> permission = new ArrayList<String>();
        permission.add("user:add");
        permission.add("user:delete");
        permission.add("user:update");
        permission.add("user:find");
        
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        for (String perms : permission) {
            info.addStringPermission(perms);
        }
        return info;
    }

}

shiro.ini

[main]
userRealm=com.sun123.realm.UserRealm
securityManager.realm=$userRealm
#在realm中给定了用户信息，该用户信息可以不用配置
[users]
zhangsan=1111

测试代码：

package com.sun123.shiro;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.util.Factory;
//java.lang中有SecurityManager的包，需要改成Apache的
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;

public class UserRealmDemo {

    public static void main(String[] args) {
        // 1、创建SecurityManager工厂，读取相应的配置文件
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        // 2、通过SecurityManager工厂获取SecurityManager的实例
        SecurityManager securityManager = factory.getInstance();
        // 3、将securityManager对象设置到运行环境中
        SecurityUtils.setSecurityManager(securityManager);
        // 4、通过SecurityUtils获取主体Subject
        Subject subject = SecurityUtils.getSubject();
        // 5、加入登录的用户名zhangsan和1111，这个地方的zhangsan和1111表示用户登录时输入的信息
        // 而shiro.ini文件中的信息相当于数据库中存放的信息
        // UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "111");
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "1111");
        try {
            // 6、进行用户身份验证
            subject.login(token);
            // 7、通过subject来判断用户是否通过验证
            if (subject.isAuthenticated()) {
                System.out.println("验证通过");
            }
        } catch (UnknownAccountException e) {// AuthenticationException为父异常 Ctrl+T看子异常
            System.out.println("用户名/密码不正确");
        } catch (IncorrectCredentialsException e) {// AuthenticationException为父异常 Ctrl+T看子异常
            System.out.println("用户名或密码不正确");
        }

        System.out.println(subject.isPermittedAll("user:add","user:delete"));
    }
}

席剑啊~

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
Shiro权限管理框架学习(二) 授权

一、授权1、授权：给身份认证通过的人，授予他可以访问某些资源的权限。2、权限粒度：分为粗粒度和细粒度。　　粗粒度：对user的crud。也就是说通常对表的操作。　　细粒度：是对记录的操作。如：只允许查询id为1的user的工资。　　Shiro一般管理的是粗粒度的权限。比如：菜单，按钮，url。一般细粒度的权限是通过业务来控制的。3、角色：权限的集合。4、权限表示规则：资...
复制链接

扫一扫

专栏目录