saas-export项目-apache shiro框架

shiro简介

（1）shiro是什么？
Apache Shiro时一个功能强大，易用的Java安全框架/权限框架
**本质:**预先定义好权限代码(例如：过滤器，RBAC模型设计，jsp标签等)
（2）shiro作用
执行身份验证，查询其权限（授权），密码学,会话管理

（3）shiro和SpringSecurity区别
shiro
优点: 设计简单，配置简单
弊端:（1）与spring结合的话需要整合
（2）功能没有SpringSecurity强大
SpringSecurity
优点: 无需和Spring整合，功能强大
弊端: 配置稍微麻烦

shiro功能组成

(1)四大功能
认证，授权，加密，会话管理
(2)认证: 判断账号和密码
Authorization: 身份认证/登录，例如：登录认证
认证:用户访问系统，系统校验用户身份是否合法的过程称之为认证
(3)授权:查询权限
Authorization 分配权限，查询权限
授权:权限校验。校验用户是否有权限访问的过程称之为授权

如何实现授权？
1.获取登录用户的权限
2.自己制定访问资源需要的权限
3.通过判断，如果用户的权限上有访问资源的权限，就授权通过，否则，拒绝访问

(4)加密：将密码加密储存到数据库
Cryptgraphy,加密，包装数据的安全性，将密码加密储存到数据库而不是明文储存
(5)会话管理：退出功能
SessionManager,会话管理，用户登录后就是一次会话，在用户没有退出前，所有的信息全部储存在绘画中；会话可以是普通的JavaSE环境，也可以是Web环境

Shiro架构

(1)Shiro架构图
Subject:主体，代表当前用户，类似于JDBC的连接
SecurityManager:安全管理器，也是核心，所有与安全相关的操作都会与SecurityManager交互
Realm：域u，Shiro从Realm获取安全数据（例如：用户，角色，权限）
(2)工作原理
1.应用代码通过Subject来认证和授权，Subject又委托给SecurityManager；
2.给SecurityManager注入Realm，让SecurityManager得到合法用户并对其拥有的权限进行判断
subject调用SecurityManager
安全管理器调realm
realm访问数据库的表数据

Shiro环境搭建

步骤
(1)项目添加shiro依赖

 <!--shiro-->
        <!--shiro和spring整合-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.3.2</version>
        </dependency>
        <!--shiro核心包-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>1.3.2</version>
        </dependency>

(2)配置web.xml

<!--shiro 搭建：配置过滤器DelegatingFilterProxy-->
  <!--配置Shiro的过滤器：拦截需要认证或者授权请求-->
  <filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

当前过滤器使用过滤器工厂的对象创建多个用途过滤器
如何找到spring管理的过滤器工程？
根据filter-name的值与bean的id的值一致

applicationContext-shiro.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
    <!--1.配置shiroFilter 认证或授权逻辑处理对象-->
    <!--注入：这里的shiroFilter必须和web.xml的filter-name保持一致-->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <!--注入SecurityManager-->
    <property name="securityManager" ref="securityManager"/>
</bean>
    <!--创建SecurityManager-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!--注入Realm-->
        <property name="realm" ref="authRealm"/>
    </bean>
    <!--创建Realm-->
    <bean id="authRealm" class="com.xjj.web.shiro.AuthRealm"/>
</beans>

AuthRealm

package com.xjj.web.shiro;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class AuthRealm extends AuthorizingRealm {
    private  Logger l= LoggerFactory.getLogger(this.getClass());
    //spring通过反射调用无参构造函数
    public AuthRealm(){
        l.info("调用了无参构造函数");
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
      l.info("doGetAuthorizationInfo执行");
        return null;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        l.info("doGetAuthenticationInfo执行");
        return null;
    }
}