shiro学习(二) Realm

  
  

   
   

    
    realm是一个shiro提供的接口用中文翻译是'领域',当我们的表单post请求进行登录验证时,就会到自定义(之前还会有一个Filter)的这个realm,在这个类 我们查询出用户的信息(包括权限信息),然后交给credentialsMatcher进行验证(凭证匹配器,下一篇会讲到)
   
   
  
  

   
   

    
    

     
      
    
    
    
    

     
     package com.hzq.system.service.realm;
    
    
    
    

     
      
    
    
    
    

     
     import java.util.ArrayList;
    
    
    
    

     
     import java.util.List;
    
    
    
    

     
      
    
    
    
    

     
     import org.apache.shiro.SecurityUtils;
    
    
    
    

     
     import org.apache.shiro.authc.AuthenticationException;
    
    
    
    

     
     import org.apache.shiro.authc.AuthenticationInfo;
    
    
    
    

     
     import org.apache.shiro.authc.AuthenticationToken;
    
    
    
    

     
     import org.apache.shiro.authc.LockedAccountException;
    
    
    
    

     
     import org.apache.shiro.authc.SimpleAuthenticationInfo;
    
    
    
    

     
     import org.apache.shiro.authz.AuthorizationInfo;
    
    
    
    

     
     import org.apache.shiro.authz.SimpleAuthorizationInfo;
    
    
    
    

     
     import org.apache.shiro.realm.AuthorizingRealm;
    
    
    
    

     
     import org.apache.shiro.subject.PrincipalCollection;
    
    
    
    

     
     import org.apache.shiro.util.ByteSource;
    
    
    
    

     
     import org.springframework.beans.factory.annotation.Autowired;
    
    
    
    

     
     import org.springframework.stereotype.Service;
    
    
    
    

     
      
    
    
    
    

     
     import com.hzq.system.entity.ShiroUser;
    
    
    
    

     
     import com.hzq.system.entity.SysPermission;
    
    
    
    

     
     import com.hzq.system.entity.SysRole;
    
    
    
    

     
     import com.hzq.system.entity.SysUser;
    
    
    
    

     
     import com.hzq.system.service.PermissionService;
    
    
    
    

     
     import com.hzq.system.service.SysRoleService;
    
    
    
    

     
     import com.hzq.system.service.SysUserService;
    
    
    
    

     
     import com.hzq.system.util.PermissionUtil;
    
    
    
    

     
     @Service
    
    
    
    

     
     public class ShiroRealm extends AuthorizingRealm {
    
    
    
    

     
     	@Autowired
    
    
    
    

     
     	private SysUserService userService;
    
    
    
    

     
     	@Autowired
    
    
    
    

     
     	private SysRoleService roleService;
    
    
    
    

     
     	@Autowired
    
    
    
    

     
     	private PermissionService permissionService;
    
    
    
    

     
     	
    
    
    
    

     
     	@Override
    
    
    
    

     
     	public void setName(String name) {
    
    
    
    

     
     		super.setName("shiroRealm");
    
    
    
    

     
     	}
    
    
    
    

     
     	/**
    
    
    
    

     
     	 * 认证回调函数,登录时调用.
    
    
    
    

     
     	 */
    
    
    
    

     
     	@Override
    
    
    
    

     
     	protected AuthenticationInfo doGetAuthenticationInfo(
    
    
    
    

     
     			AuthenticationToken authcToken) throws AuthenticationException {
    
    
    
    

     
     		// token是用户输入的用户名和密码 
    
    
    
    

     
     		// 从token中取出用户名
    
    
    
    

     
     		String username = (String) authcToken.getPrincipal();
    
    
    
    

     
     		SysUser sysUser=userService.findUserByUsername(username);
    
    
    
    

     
     		if(sysUser==null){
    
    
    
    

     
     			return null;
    
    
    
    

     
     		}
    
    
    
    

     
     		if("1".equals(sysUser.getState())){
    
    
    
    

     
     			throw new LockedAccountException();
    
    
    
    

     
     		}
    
    
    
    

     
     		ShiroUser shiroUser=new ShiroUser(sysUser.getId(),sysUser.getUsername(), sysUser.getName(),sysUser.getPhone());
    
    
    
    

     
     		List<SysRole> roles=roleService.getRolesByUserId(sysUser.getId());
    
    
    
    

     
     		shiroUser.setRoles(roles);
    
    
    
    

     
     		
    
    
    
    

     
     		List<SysPermission> permissions=new ArrayList<SysPermission>();
    
    
    
    

     
     		if(roles.size()!=0){
    
    
    
    

     
     			permissions=permissionService.getPermissionBySysRoles(roles);
    
    
    
    

     
     		}
    
    
    
    

     
     		shiroUser.setMenus(PermissionUtil.getMenus(permissions));
    
    
    
    

     
     		shiroUser.setPermissions(PermissionUtil.getPermissions(permissions));
    
    
    
    

     
     		String salt=sysUser.getSalt();
    
    
    
    

     
     		return new SimpleAuthenticationInfo(shiroUser,sysUser.getPassword(),ByteSource.Util.bytes(salt),getName());
    
    
    
    

     
     		
    
    
    
    

     
     	}
    
    
    
    

     
      
    
    
    
    

     
     	/**
    
    
    
    

     
     	 * 授权查询回调函数, 进行授权但缓存中无用户的授权信息时调用.
    
    
    
    

     
     	 */
    
    
    
    

     
     	@Override
    
    
    
    

     
     	protected AuthorizationInfo doGetAuthorizationInfo(
    
    
    
    

     
     			PrincipalCollection principals) {
    
    
    
    

     
     		ShiroUser shiroUser = (ShiroUser) principals.getPrimaryPrincipal();
    
    
    
    

     
     		SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    
    
    
    

     
     //		for (SysRole role : shiroUser.getRoles()) {
    
    
    
    

     
     //			 //基于Role的权限信息(与代码绑定太多)
    
    
    
    

     
     //			 info.addRole(role.getAuthorityname());
    
    
    
    

     
     //		}
    
    
    
    

     
     		for (SysPermission permission : shiroUser.getPermissions()) {
    
    
    
    

     
     			 //基于Permission的权限信息
    
    
    
    

     
     			String auth=permission.getAuth();
    
    
    
    

     
     			if(auth!=null){
    
    
    
    

     
     				 info.addStringPermission(auth.trim());
    
    
    
    

     
     			}
    
    
    
    

     
     		}
    
    
    
    

     
     		return info;
    
    
    
    

     
     	};
    
    
    
    

     
      
    
    
    
    

     
     	
    
    
    
    

     
      
    
    
    
    

     
     }
    
    
    
    

     
      
    
    
   
   

我们需要自定义一个实现  AuthorizingRealm ,当我们的登录表单被过滤器拦截之后,便会进入这个类进行认证, 这个类主要有两个方法

   
   

    
    

     
     (1): doGetAuthenticationInfo 
    
    
    
    

     
         
    
    
    
    

     
       shiro是利用过滤器进行登录拦截的,当我们没登录时访问任何页面,都会跳到配置文件定义的ShiroFilter里面的loginUrl,然后在进行表单提交时,跳转到这里进行验证(其实之前还会有一个登录表单的过滤器,下下篇文章会介绍),若验证失败(这个方法返回null 或者抛出异常)则会跳到LoginUrl对应的Action里面(这个Action并不处理登录成功,切记只有登录失败才会跳转)
    
    
    
    

     
         这个主要方法是查找用户名密码信息(在此我也查出了用户所具有的权限信息,这样下面需要认证时就不用再从数据库查了)
    
    
    
    

     
         详细介绍:
    
    
    
    

     
         参数authcToken 储存了用户表单提交过来的用户名和密码(也包括了是否记住密码,我这边没有用)
    
    
    
    

     
         返回值 SimpleAuthenticationInfo 
    
    
    
    

     
                 第一个参数是Object,为了储存更多的信息,我自定义了一个ShiroUser来存储 在方法(2)中通过 
    
    
    
    

     
          ShiroUser shiroUser = (ShiroUser) principals.getPrimaryPrincipal() 可以得到ShiroUser
    
    
    
    

     
         sysUser.getState()是bean的一个字段,若为1则用户禁用,此时抛出异常(这个异常是shiro内部自定义的)前面有提到,抛出异常则会跳转到LoginUrl对应的Action,看下那个Action
    
    
   
   

   
   

    
    

     
           /**
    
    
    
    

     
          * 此方法不处理登陆成功（认证成功），shiro认证成功会自动跳转到上一个请求路径
    
    
    
    

     
          * @param request
    
    
    
    

     
          * @return
    
    
    
    

     
          * @throws Exception
    
    
    
    

     
          */
    
    
    
    

     
         @RequestMapping(value="login",method=RequestMethod.POST)
    
    
    
    

     
         public String index(HttpServletRequest request) throws Exception{
    
    
    
    

     
             
    
    
    
    

     
             //如果登陆失败从request中获取认证异常信息，shiroLoginFailure就是shiro异常类的全限定名
    
    
    
    

     
                     String exceptionClassName = (String) request.getAttribute("shiroLoginFailure");
    
    
    
    

     
                     //根据shiro返回的异常类路径判断，抛出指定异常信息
    
    
    
    

     
                     if(exceptionClassName!=null){
    
    
    
    

     
                         if (UnknownAccountException.class.getName().equals(exceptionClassName)) {
    
    
    
    

     
     //                        request.setAttribute(IndexErrorKey, "账号不存在");
    
    
    
    

     
                             //避免被恶意扫描账号库
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "用户名/密码错误");
    
    
    
    

     
                         } else if (IncorrectCredentialsException.class.getName().equals(
    
    
    
    

     
                                 exceptionClassName)) {
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "用户名/密码错误");
    
    
    
    

     
                         } else if("validataCodeError".equals(exceptionClassName)){
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "验证码错误");
    
    
    
    

     
                         }  else if("usernameValidError".equals(exceptionClassName)) {
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "用户名长度不合法");
    
    
    
    

     
                         }else if("passwordValidError".equals(exceptionClassName)){
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "密码长度不合法");
    
    
    
    

     
                         }else if(ExcessiveAttemptsException.class.getName().equals(exceptionClassName)){
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "验证失败次数过多,5分钟后重试");
    
    
    
    

     
                         } else if(LockedAccountException.class.getName().equals(exceptionClassName)){
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "账号被锁定,请联系管理员");
    
    
    
    

     
                         }else if (AuthenticationException.class.getName().equals(exceptionClassName)){
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "用户名或密码错误");
    
    
    
    

     
                         }else
    
    
    
    

     
                             request.setAttribute(IndexErrorKey, "未知错误");
    
    
    
    

     
                         }
    
    
    
    

     
                         //如果认证错误 返回login页面(显示错误信息)
    
    
    
    

     
                         return "login";
    
    
    
    

     
                     }
    
    
    
    

     
                     //登陆失败回退首页(会自动跳转到登录页面)
    
    
    
    

     
                     //若一个已经登录的用户发送get请求/login实际上无论怎么输入表单数据都会跳转到index页面 
    
    
    
    

     
                     return "redirect:/";
    
    
    
    

     
         }
    
    
   
   

  String  exceptionClassName  =   ( String )  request . getAttribute ( "shiroLoginFailure" );

这段代码可能没看源码的会有点迷糊,其实shiro框架内部在进行验证失败后,把这个ExceptionName放到request,shiroLoginFailure中,然后再跳转到这个页面,Shiro几个常用的Exception为DisAbleAccountException(账号被禁用),LockedAccountException(账号被锁定) ExcessiveAttemptsException(登录次数过多) ExpiredCredentialsException(凭证过期),我这边异常种类多,(其实之前还会有一个登录表单的过滤器,下下篇会讲到)我只是在验证之前对于验证失败的部分做了这个操作:request.setAttribute(' shiroLoginFailure ',' validataCodeError ') 这样就实现了 验证码等一些拦截,在这个方法认证失败后,我把错误信息放在request域中,并且返回到Login页面进行显示

    
    

     
     

      
      (2): doGetAuthorizationInfo
     
     
     
     

      
          这是权限认证,前面在登录认证时,我已经把权限信息放在ShiroUser里面了,我们只要取出其中的permission按照我这样返回就好了,我这边数据库存的是 类似于 "user:query"表示用户查询的权限,然后在方法上进行拦截,jsp页面用shiro标签进行过滤即可