shiro基础学习(二) shiro认证

转载自：http://www.cnblogs.com/yangang2013/p/5677717.html

一、shiro简介

     shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证、权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。

以下是你可以用 Apache Shiro所做的事情:

(1)验证用户。

(2)对用户执行访问控制，如: 判断用户是否拥有角色admin，判断用户是否拥有访问的权限。

(3)在任何环境下使用Session API。例如CS程序。

(4)可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。

(5)单点登录(SSO)功能。

(6)"Remember Me"服务，类似购物车的功能，shiro官方建议开启。

 

二、shiro架构

     

 

(1)Subject

     

     Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。

     所有Subject 实例都必须绑定到一个SecurityManager上。我们与一个 Subject 交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。

     Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。

 

(2)SecurityManager

     SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

     SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。

 

(3)Authenticator

     Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。

 

(4)Authorizer

    Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

 

(5)Realm

     Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

 

(6)sessionManager

     sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

 

(7)SessionDAO

     SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。

 

(8)CacheManager

     CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

 

(9)Cryptography

     Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

 

三、基本程序

1.认证流程

       

 

2.入门程序

(1)工程架构

 

(2)shiro-first.ini

     通过shiro-first.ini配置文件初始化SecurityManager环境。

    

 

(3)代码实现

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39

public  class  AuthenticationTest{        // 用户登录和退出      @Test      public  void  testLogin(){            // 创建SecurityManager工厂，通过init配置文件构造          IniSecurityManagerFactory factory = new  IniSecurityManagerFactory( "classpath:shiro-first.ini" );            // 创建SecurityManager          SecurityManager securityManager = factory.createInstance();            // 将SecurityManager设置到当前运行环境          SecurityUtils.setSecurityManager(securityManager);            // 从SecurityUtils里创建Subject          Subject subject = SecurityUtils.getSubject();            // 认证提交前准备token          UsernamePasswordToken token = new  UsernamePasswordToken( "zhangsan" , "123" );            try {              // 执行认证提交              subject.login(token);          } catch (Exception e){              e.printStackTrace();          }            // 是否认证通过          boolean  isAuthenticated = subject.isAuthenticated();          System.out.println( "是否认证通过: "  + isAuthenticated);            // 退出操作          subject.logout();            isAuthenticated = subject.isAuthenticated();          System.out.println( "是否认证通过: "  + isAuthenticated);      } }

结果:

      是否认证通过: true 
      是否认证通过: false

 

(4)认证流程

1、通过ini配置文件创建securityManager。

2、调用subject.login方法主体提交认证，提交的token。

3、securityManager进行认证，securityManager最终由ModularRealmAuthenticator进行认证。

4、ModularRealmAuthenticator调用IniRealm(给realm传入token) 去ini配置文件中查询用户信息。

5、IniRealm根据输入的token(UsernamePasswordToken)从shiro-first.ini查询用户信息，根据账号查询用户

    信息(账号和密码)如果查询到用户信息，就给ModularRealmAuthenticator返回用户信息(账号和密码)如果查

    询不到，就给ModularRealmAuthenticator返回null。

6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息如果返回的认证信息是null，

    ModularRealmAuthenticator抛出异常(org.apache.shiro.authc.UnknownAccountException)如果返回的认

    证信息不是null(说明inirealm找到了用户)，对IniRealm返回用户密码(在ini文件中存在)和 token中的密码进行对

    比，如果不一致抛出异常(org.apache.shiro.authc.IncorrectCredentialsException)。

 

三、自定义Realm

1.自定义Realm代码实现

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39

/*   * 自定义Realm   */ public  class  CustomRealm extends  AuthorizingRealm{              //设置Realm名称      @Override      public  void  setName(String name){          super .setName( "customRealm" );      }        //用于认证      @Override      protected  AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws  AuthenticationException{                    //1.从token取出用户身份信息          String userCode = (String)token.getPrincipal();                    //2.根据用户userCode查询数据库          //模拟从数据库查询到的密码          String password = "123" ;                    //查询不到返回null                    //查询到返回认证信息          SimpleAuthenticationInfo authenticationInfo = new  SimpleAuthenticationInfo(userCode,password, this .getName());                    return  authenticationInfo;      }        //用于授权      @Override      protected  AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){                    return  null ;      }   }

 

2.配置Realm

 

3.测试代码

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37

// 用户登录和退出 @Test public  void  testCustomRealm(){            // 创建SecurityManager工厂，通过init配置文件构造      IniSecurityManagerFactory factory = new  IniSecurityManagerFactory( "classpath:shiro-realm.ini" );            // 创建SecurityManager      SecurityManager securityManager = factory.createInstance();            // 将SecurityManager设置到当前运行环境      SecurityUtils.setSecurityManager(securityManager);            // 从SecurityUtils里创建Subject      Subject subject = SecurityUtils.getSubject();            // 认证提交前准备token      UsernamePasswordToken token = new  UsernamePasswordToken( "zhangsan" , "123" );            try {          // 执行认证提交          subject.login(token);      } catch (Exception e){          e.printStackTrace();      }            // 是否认证通过      boolean  isAuthenticated = subject.isAuthenticated();            System.out.println( "是否认证通过: "  + isAuthenticated);            // 退出操作      subject.logout();            isAuthenticated = subject.isAuthenticated();      System.out.println( "是否认证通过: "  + isAuthenticated); }