走进Shiro世界

最新推荐文章于 2024-07-15 22:27:12 发布
最新推荐文章于 2024-07-15 22:27:12 发布
阅读量93 收藏
点赞数
文章标签： shiro java 安全 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ozl520/article/details/115680723
版权
ShiroShiro1.1 Shiro是什么Shiro架构1.工作流程2.RBAC模型3.架构HelloWorld与Web集成shiro标签Shiro为什么要用shiro1.项目中的密码不能明文存储2.任何访客，登录与不登录访问的功能不同3.项目中的功能不是所有的用户都能操作项目当项目某些功能被使用，需要进行安全校验，保证整个系统的秩序1.1 Shiro是什么Apache Shiro是Java的一个安全权限框架shiro可以轻松的完成：身份认证、授权、加密、会话管理等功能Shiro
摘要由CSDN通过智能技术生成

Shiro

Shiro

为什么要用shiro
1.项目中的密码不能明文存储
2.任何访客，登录与不登录访问的功能不同
3.项目中的功能不是所有的用户都能操作
项目当项目某些功能被使用，需要进行安全校验，保证整个系统的秩序

1.1 Shiro是什么

  • Apache Shiro是Java的一个安全权限框架
    shiro可以轻松的完成：身份认证、授权、加密、会话管理等功能
  • Shiro可以非常容易开发出足够好的应用，其不仅用在JavaSE环境，也可以用在JavaEE环境。
    功能强大且易用，可以轻松地保护任何应用程序（从最小的移动应用程序到最大的Web和企业应用程序）
  • 方便与Web集成和搭建缓存
  • 下载：http://shiro.apache.org/

Shiro架构

1.工作流程

shiro运行流程中，三个核心组件
Subject、SecurityManager、Realm

在这里插入图片描述

  • Subject
    安全校验中，Subject代表了当前用户，应用代码直接交互的对象是Subject，只要得到Subject对象就能完成绝大多数的shiro操作。Subject会将所有的交互都会委托SecurityManager。
  • SecurityManager
    安全管理器；即所有与安全有关的操作都会与SecurityManager交互，且管理着所有Subject；它是核心，它负责Shrio的其他组件进行交互，它相当于SpringMVC中DispatcherServlet的角色
  • Realm
    Shiro从Realm获取安全数据（用户、角色、权限），就是说SecurityManager要验证用户身份，那么需要从Realm获取相应的信息进行处理，可以把Realm当做DAO

2.RBAC模型

Role Base Access Controll基于角色的访问控制
shiro采用的安全管理模型
模型中3个主体，用户、角色、权限

在这里插入图片描述

则权限访问控制，做的事是：
1.身份验证：判断是否为合法用户
2.权限校验：用户要做某件事或使用某些资源，必须要拥有某角色，或必须拥有某权限

在这里插入图片描述

3.架构

HelloWorld

1.pom.xml

<!--    shiro-->
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>1.5.3</version>
    </dependency>

<!--    日志-->
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>1.7.21</version>
    </dependency>

    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-log4j12</artifactId>
      <version>1.7.21</version>
    </dependency>

    <dependency>
      <groupId>log4j</groupId>
      <artifactId>log4j</artifactId>
      <version>1.2.17</version>
    </dependency>

    <dependency>
      <groupId>commons-logging</groupId>
      <artifactId>commons-logging</artifactId>
      <version>1.2</version>
    </dependency>
  </dependencies>

2.配置

创建一个shiro.ini文件

[users]
zhangsan=123,admin
lisi=456,manager,seller
wangwu=789,clerk
[roles]
#所有权限用 * 代表
admin=*
clerk=user:query,user:detail:query
manager=user:*

身份认证：subject.login(token)
是否认证身份判断：subject.isAuthenticated()
角色校验:subject.hasRole(String:role);subject.hasRoles(List:roles)
权限校验:subject.isPermitted(String:perm);subject.isPermittedAll(List:perms)

3.代码


public class TestShiro {
    public static void main(String[] args) {
        //通过ini配置，创建SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager=factory.getInstance();
        //SecurityManager托管到SecurityUtils工具类
        SecurityUtils.setSecurityManager(securityManager);
        //获取subject
        Subject currentUser = SecurityUtils.getSubject();
        //身份认证
        if (!currentUser.isAuthenticated()){//判断是否已登录
            //没有登录，则封装一个token，包含用户名和密码
            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "123");

            try {
                currentUser.login(token);
                System.out.println("登录成功！！");
            }catch (UnknownAccountException uae){
                System.out.println("用户不存在");
            }catch (IncorrectCredentialsException ice){
                System.out.println("密码错误");
            }catch (LockedAccountException lae){
                System.out.println("账户冻结");
            }
            catch (AuthenticationException e) {
                e.printStackTrace();
            }
        }

        //角色校验
        boolean isAdmin = currentUser.hasRole("admin");
        System.out.println(isAdmin);

        //权限校验
        boolean isPermitted = currentUser.isPermitted("a:b");
        System.out.println(isPermitted);

        //退出登录
        currentUser.logout();

        Object principal = currentUser.getPrincipal();
        System.out.println(principal);
    }
}

4.权限规则

最常用的权限标识：【资源：操作】

在这里插入图片描述
在这里插入图片描述

实力级权限标识：【资源：操作：实例】，粒度化到某个资源实例

在这里插入图片描述

与Web集成

与web项目集成后，shiro的工作模式如下：

在这里插入图片描述

shiro会拦截所有的请求，对于请求做访问控制

1.pom.xml

<dependencies>
    <dependency>
      <groupId>junit</groupId>
      <artifactId>junit</artifactId>
      <version>4.11</version>
      <scope>test</scope>
    </dependency>


<!--Servlet-->
    <dependency>
      <groupId>javax.servlet.jsp</groupId>
      <artifactId>jsp-api</artifactId>
      <version>2.1</version>
      <scope>provided</scope>
    </dependency>

    <dependency>
      <groupId>javax.servlet</groupId>
      <artifactId>jstl</artifactId>
      <version>1.2</version>
    </dependency>

    <dependency>
      <groupId>javax.servlet</groupId>
      <artifactId>javax.servlet-api</artifactId>
      <version>4.0.1</version>
    </dependency>

    <!--SpringMVC-->
    <dependency>
      <groupId>org.springframework</groupId>
      <artifactId>spring-webmvc</artifactId>
      <version>5.2.10.RELEASE</version>
    </dependency>

<!--    shiro-->
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>1.5.3</version>
    </dependency>

    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-web</artifactId>
      <version>1.5.3</version>
    </dependency>

<!--    日志-->
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>1.7.21</version>
    </dependency>

    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-log4j12</artifactId>
      <version>1.7.21</version>
    </dependency>

    <dependency>
      <groupId>log4j</groupId>
      <artifactId>log4j</artifactId>
      <version>1.2.17</version>
    </dependency>

    <dependency>
      <groupId>commons-logging</groupId>
      <artifactId>commons-logging</artifactId>
      <version>1.2</version>
    </dependency>

    <!--lombok-->
    <dependency>
      <groupId>org.projectlombok</groupId>
      <artifactId>lombok</artifactId>
      <version>1.18.12</version>
      <scope>provided</scope>
    </dependency>
  </dependencies>

2.代码 servlet

@Controller
@RequestMapping("/user")
public class UserController {

    @GetMapping("/login")
    public String login(){
        System.out.println("访问登录页面");
        return "login";
    }

    @PostMapping("/login")
    public String loginLogic(User user){
        System.out.println("login logic");
        //获取subject 调用login
        Subject subject = SecurityUtils.getSubject();
        //创建用于登录的令牌
        UsernamePasswordToken token = new UsernamePasswordToken(user.getUsername(), user.getPassword());
        //登录失败会抛出异常，由异常解析器处理
        subject.login(token);
        return "index";//登陆成功，跳转首页
    }
}

3.配置

3.1 web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee
         http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
         version="3.1">

  <display-name>Archetype Created Web Application</display-name>

  <servlet>
    <servlet-name>mvc</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <init-param>
      <param-name>contextConfigLocation</param-name>
      <param-value>classpath:mvc.xml</param-value>
    </init-param>
    <load-on-startup>2</load-on-startup>
  </servlet>

  <servlet-mapping>
    <servlet-name>mvc</servlet-name>
    <url-pattern>/</url-pattern>
  </servlet-mapping>

  <!--
      1.项目的最外层构建访问控制层
      2.在启动时，初始化shiro环境
  -->
  <filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>
  <!--项目启动加载web-info或classpath:下的shiro.ini，并构建WebSecurityManager。构建所有配置中的使用的过滤链(anon,authc等)ShiroFilter会获取该过滤链-->
  <listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  </listener>

  <!--自定义ini文件名称和位置-->
<!--  <context-param>-->
<!--    <param-name>shiroConfiguration</param-name>-->
<!--    <param-value>classpath:shiro9.ini</param-value>-->
<!--  </context-param>-->
</web-app>

3.2 shiro.ini

[users]
zhangsan=123,admin
lisi=456,manager,seller
wangwu=789,clerk
[roles]
#所有权限用 * 代表
admin=*
clerk=user:query,user:detail:query
manager=“user:query,insert,update”,order:query
[main]
#没有身份认证时，跳转地址
shiro.loginUrl=/user/login
#角色或权限不通过，跳转的页面
shiro.unauthorizedUrl=/author/error
#登出后的跳转地址，回首页
shiro.redirectUrl=/
[urls]
/user/all =authc,perms["user:query]
/user/login/page =anon
/user/login/logic =anon
/user/query =authc
/user/update =authc,roles[“manager”,“seller”]
/user/update =authc,perms[“user:update”,“user:delete”]
/user/logout =logout

3.3 其他默认过滤器

在这里插入图片描述

shiro标签

shiro提供了很多标签，用于在jsp中安全校验。
完成对页面元素的访问控制

1.导入shiro的标签库

<%@ taglib prefix=“shiro” uri=“http://shiro.apache.org/tags”%>

2.身份认证

< shiro:authenticated/> 已登录
< shiro:user/> 已登录或记住我
< shiro:guest/> 游客(未登录 且 记住我)
< shiro:notAuthenticated/> 未登录
< shiro:principal/> 获取用户身份信息

3.角色校验

< shiro:hasAnyRoles name=“admin,manager”/> 是其中任何一个角色
< shiro:hasRole name=“admin”/> 是指定角色
< shiro:lacksRole name=“admin”/> 不是指定角色

4.权限检验

<shiro:hasPermission name=“user:delete”/> 有指定权限
<shiro:hasPermission name=“user:delete”/> 缺失指定权限

自定义Realm

存在的问题：目前数据都存在ini文件上，不利于管理，实际开发中这些信息应该放在数据库中

1.建表

2.自定义Realm

在这里插入图片描述

2.1 父类

在这里插入图片描述
在这里插入图片描述

public class MyRealm extends AuthorizingRealm {
    /**
     * 查询权限信息
     * 通过用户名查询信息
     * @param principalCollection
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        String username = (String)principalCollection.getPrimaryPrincipal();
        return null;
    }

    /**
     * 查询身份信息
     * subject.login(token)触发
     * 查询方式通过用户名查询用户信息
     * @param authenticationToken
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        String username = (String)authenticationToken.getPrincipal();
        return null;
    }
}
ozl520
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
SpringBoot+shiro+mybatis实现权限登录
m0_64204730的博客
11-20 333
SELECT p.* ,r.role_name FROM user u, role r, permission p WHERE username = #{username} AND u.role_id = r.id AND p.role_id = r.id; （2）DAO层： @Mapper public interface UserMapper { User queryUserByUsername(@Param(“username”) String username); ...
轻松带你走进shiro的世界
weixin_34204057的博客
04-15 56
2019独角兽企业重金招聘Python工程师标准>>> ...
Shiro 之 入口:EnvironmentLoaderListener
huangbaokang的博客
08-25 2400
自从那次与 Shiro 邂逅，我就深深地爱上了她，很想走进她的内心世界，看看她为何如此迷人？我们打算将 Shiro 放在 Web 应用中使用，只需在 web.xml 中做如下配置：<?xml version="1.0" encoding="UTF-8"?> <web-app xmlns="http://java.sun.com/xml/ns/javaee" xmlns:xsi="h
Shiro+SpringMVC+MyBatis整合
qq_15265113的博客
05-03 1344
【Shiro】Apache Shiro架构之实际运用（整合到Spring中) 标签： apacheshirospring架构 2016-07-06 21:05 8845人阅读 评论(156) 收藏 举报 本文章已收录于： 分类： ● 架构之美（22） 作者同类文章X ------【Shiro】（4）
超详细！附源码！SpringBoot+shiro+mybatis+Thymeleaf实现权限登录系统
weixin_46509714的博客
11-20 793
SpringBoot+shiro+mybatis+Thymeleaf实现权限登录系统 记录一下，学习shiro的一个小Demo： 1.首先是底层数据库： -- ---------------------------- -- Table structure for role -- ---------------------------- CREATE TABLE `role` ( `id` int(11) NOT NULL AUTO_INCREMENT COMMENT '角色表主键', `role_
带你走进微处理架构的世界
qq_42337832的博客
05-30 337
摘要: 微处理架构——处理复杂事物 　　许多公司，比如Amazon、eBay和NetFlix，通过采用微处理结构模式解决了上述问题。其思路不是开发一个巨大的单体式的应用，而是将应用分解为小的、互相连接的微服务。微服务正在博客、社交媒体讨论组和会议演讲中获得越来越多的关注，在Gartner的2014 Hype Cycle上它的排名非常靠前。同时，软件社区中也有不少持怀疑论者，认为微服务不是什么新东西...
走进JavaWeb技术世界17：web安全攻防详解
Java技术江湖
03-17 3369
安全要素与 STRIDE 威胁 今天，来分享下安全要素与 STRIDE 威胁。 STRIDE 威胁 STRIDE 威胁，代表六种安全威胁：身份假冒（Spoofing）、篡改（Tampering）、抵赖（Repudiation）、信息泄露（Information Disclosure）、拒绝服务（Denial of Service）、特权提升（Elevation of Priv...
Shiro 之 入口：EnvironmentLoaderListener
weixin_33873846的博客
03-18 97
2019独角兽企业重金招聘Python工程师标准>>> ...
SpringBoot+shiro+mybatis实现权限登录，Nginx面试
m0_64205605的博客
11-21 117
@SpringBootTest class CsyApplicationTests { @Autowired private UserMapper userMapper; @Test void contextLoads() { User admin = userMapper.queryUserByUsername(“admin”); System.out.println(admin.toString()); Permissions permission = userMapper.queryPermissio
shiro1.5.3
05-11
Apache Shiro 是一个强大且易用的Java安全框架，提供了认证、授权、加密和会话管理功能，可以非常轻松地开发出足够安全的应用。你提到的 "shiro1.5.3" 是Shiro框架的一个特定版本，包含了该版本的所有核心组件和相关...
shiro漏洞检测工具
08-10
shiro漏洞检测工具，找了一个18M左右的不好用，经验证这个好用，不会报找不到类错误。
shiro1.7.1.zip
04-12
在使用Shiro 1.7.1时，开发者可以根据具体需求选择合适的模块进行集成，例如，Web应用可能会主要依赖`shiro-core`、`shiro-web`和`shiro-spring`，而需要进行复杂加密操作的应用可能需要`shiro-crypto-hash`和`shiro...
shiro1.6版本
09-07
Apache Shiro 是一个强大且易用的Java安全框架，提供了身份验证、授权、加密和会话管理功能，简化了企业级应用的安全实现。在本文中，我们将深入探讨Apache Shiro 1.6版本的重要更新，以及它如何修复了一个绕过认证...
shiro_shiro_
10-03
Apache Shiro 是一个强大且易用的Java安全框架，提供了认证、授权、加密和会话管理功能，可以非常方便地开发出足够安全的应用。Shiro 不仅可以用于Java Web 应用，也可以用于独立的Java应用，如Android应用或者桌面...
《JavaSE》---6.＜基础语法（Java三大程序控制结构）＞
m0_73456341的博客
07-14 833
本篇博客主要讲解Java基础语法中的三大结构，一种顺序结构、两大分支结构i（if-else、swich-case）、四大循环结构（while、do while、fot、foreach）
Spring Security 授权
persistence_PSH的博客
07-14 905
在 loadUserByUsername 方法，在查询数据库用户信息的时候，同时查询出用户的权限，这里以角色名代指权限。在 loadUserByUsername 方法，在查询数据库用户信息的时候，同时查询出用户的权限，这里以角色名代指权限。在 loadUserByUsername 方法，在查询数据库用户信息的时候，同时查询出用户的权限，这里以角色名代指权限。通过 RBAC 获取到用户的具体权限后，再通过 Security 的 用户-权限-资源 来进行权限控制。HttpSecurity 权限配置。
【Go系列】 Sync并发控制
u013379032的博客
07-14 1025
在上一篇文章中，我们介绍了goroutine和channel，理论上，通过channel可以实现并发控制，但是其他语言的开发者可能更习惯一些原子操作的库。当然Go语言也会提供这样的库，所以我们今天了解一下sync库。
day04：Redis和店铺营业状态设置
最新发布
m0_69266818的博客
07-15 834
介绍了Redis命令和用java操作redis还有营业额状态接口的书写
Apache Shiro授权机制详解
"Apache Shiro是一个强大的Java安全框架，用于实现身份验证、授权、会话管理和缓存等功能。本文将深入探讨Shiro的授权机制，包括其核心组件、权限分配和授权流程。" Apache Shiro的授权机制是其功能的重要组成部分...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值