shiro简介
(1)shiro是什么?
Apache Shiro时一个功能强大,易用的Java安全框架/权限框架
**本质:**预先定义好权限代码
(例如:过滤器,RBAC模型设计,jsp标签等)
(2)shiro作用
执行身份验证,查询其权限(授权),密码学,会话管理
(3)shiro和SpringSecurity区别
shiro
优点: 设计简单,配置简单
弊端:(1)与spring结合的话需要整合
(2)功能没有SpringSecurity强大
SpringSecurity
优点: 无需和Spring整合,功能强大
弊端: 配置稍微麻烦
shiro功能组成
(1)四大功能
认证,授权,加密,会话管理
(2)认证: 判断账号和密码
Authorization:
身份认证/登录,例如:登录认证
认证:用户访问系统,系统校验用户身份是否合法的过程称之为认证
(3)授权:查询权限
Authorization
分配权限,查询权限
授权:权限校验。校验用户是否有权限访问的过程称之为授权
如何实现授权?
1.获取登录用户的权限
2.自己制定访问资源需要的权限
3.通过判断,如果用户的权限上有访问资源的权限,就授权通过,否则,拒绝访问
(4)加密:将密码加密储存到数据库
Cryptgraphy,加密,包装数据的安全性,将密码加密储存到数据库而不是明文储存
(5)会话管理:退出功能
SessionManager,会话管理,用户登录后就是一次会话,在用户没有退出前,所有的信息全部储存在绘画中;会话可以是普通的JavaSE环境,也可以是Web环境
Shiro架构
(1)Shiro架构图
Subject:主体,代表当前用户,类似于JDBC的连接
SecurityManager:安全管理器,也是核心,所有与安全相关的操作都会与SecurityManager交互
Realm:域u,Shiro从Realm获取安全数据(例如:用户,角色,权限)
(2)工作原理
1.应用代码通过Subject来认证和授权,Subject又委托给SecurityManager;
2.给SecurityManager注入Realm,让SecurityManager得到合法用户并对其拥有的权限进行判断
subject调用SecurityManager
安全管理器调realm
realm访问数据库的表数据
Shiro环境搭建
步骤
(1)项目添加shiro依赖
<!--shiro-->
<!--shiro和spring整合-->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.3.2</version>
</dependency>
<!--shiro核心包-->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.3.2</version>
</dependency>
(2)配置web.xml
<!--shiro 搭建:配置过滤器DelegatingFilterProxy-->
<!--配置Shiro的过滤器:拦截需要认证或者授权请求-->
<filter>
<filter-name>shiroFilter</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>shiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
当前过滤器使用过滤器工厂的对象创建多个用途过滤器
如何找到spring管理的过滤器工程?
根据filter-name的值与bean的id的值一致
applicationContext-shiro.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<!--1.配置shiroFilter 认证或授权逻辑处理对象-->
<!--注入:这里的shiroFilter必须和web.xml的filter-name保持一致-->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<!--注入SecurityManager-->
<property name="securityManager" ref="securityManager"/>
</bean>
<!--创建SecurityManager-->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<!--注入Realm-->
<property name="realm" ref="authRealm"/>
</bean>
<!--创建Realm-->
<bean id="authRealm" class="com.xjj.web.shiro.AuthRealm"/>
</beans>
AuthRealm
package com.xjj.web.shiro;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
public class AuthRealm extends AuthorizingRealm {
private Logger l= LoggerFactory.getLogger(this.getClass());
//spring通过反射调用无参构造函数
public AuthRealm(){
l.info("调用了无参构造函数");
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
l.info("doGetAuthorizationInfo执行");
return null;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
l.info("doGetAuthenticationInfo执行");
return null;
}
}