shiro的认证（五）

•        从外部来看Shiro ，即从应用程序角度的来观察如何使用 Shiro 完成

工作：

身份验证

•        身份验证：一般需要提供如身份 ID 等一些标识信息来表明登录者的身

份，如提供 email，用户名/密码来证明。

•        在 shiro 中，用户需要提供 principals （身份）和credentials（证明）给 shiro，从而应用能验证用户身份：

•        principals：身份，即主体的标识属性，可以是任何属性，如用户名、邮箱等，唯一即可。一个主体可以有多个 principals，但只有一个Primary principals，一般是用户名/邮箱/手机号。

•        credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等。

•        最常见的 principals 和 credentials 组合就是用户名/密码了

身份验证基本流程

•        1、收集用户身份/凭证，即如用户名/密码

•       2、调用 Subject.login 进行登录，如果失败将得到相应的 AuthenticationException 异常，根据异常提示用户错误信息；否则登录成功

•       3、创建自定义的 Realm 类，继承org.apache.shiro.realm.AuthorizingRealm类，实现doGetAuthenticationInfo()方法

身份验证示例

LoginController

@RequestMapping("/login")
public String login(@RequestParam("username") String username, 
@RequestParam("password") String password){
Subject currentUser = SecurityUtils.getSubject();

if (!currentUser.isAuthenticated()) {
        // 把用户名和密码封装为 UsernamePasswordToken 对象
            UsernamePasswordToken token = new UsernamePasswordToken(username, password);
            // rememberme
            token.setRememberMe(true);
            try {
            System.out.println("1. " + token.hashCode());
            // 执行登录. 
                currentUser.login(token);
            } 
            // ... catch more exceptions here (maybe custom ones specific to your application?
            // 所有认证时异常的父类. 
            catch (AuthenticationException ae) {
                //unexpected condition?  error?
            System.out.println("登录失败: " + ae.getMessage());
            }
        }

return "redirect:/list.jsp";
}
自定义的ShiroRealm继承AuthorizingRealm

public class ShiroRealm extends AuthorizingRealm {


@Override
protected AuthenticationInfo doGetAuthenticationInfo(
AuthenticationToken token) throws AuthenticationException {
System.out.println("[FirstRealm] doGetAuthenticationInfo");

//1. 把 AuthenticationToken 转换为 UsernamePasswordToken 
UsernamePasswordToken upToken = (UsernamePasswordToken) token;

//2. 从 UsernamePasswordToken 中来获取 username
String username = upToken.getUsername();

//3. 调用数据库的方法, 从数据库中查询 username 对应的用户记录
System.out.println("从数据库中获取 username: " + username + " 所对应的用户信息.");

//4. 若用户不存在, 则可以抛出 UnknownAccountException 异常
if("unknown".equals(username)){
throw new UnknownAccountException("用户不存在!");
}

//5. 根据用户信息的情况, 决定是否需要抛出其他的 AuthenticationException 异常. 
if("monster".equals(username)){
throw new LockedAccountException("用户被锁定");
}

//6. 根据用户的情况, 来构建 AuthenticationInfo 对象并返回. 通常使用的实现类为: SimpleAuthenticationInfo
//以下信息是从数据库中获取的.
//1). principal: 认证的实体信息. 可以是 username, 也可以是数据表对应的用户的实体类对象. 
Object principal = username;
//2). credentials: 密码. 
Object credentials = null; //"fc1709d0a95a6be30bc5926fdb7f22f4";
if("admin".equals(username)){
credentials = "038bdaf98f2037b31f1e75b5b4c9b26e";
}else if("user".equals(username)){
credentials = "098d2c478e9c11555ce2823231e02ec1";
}

//3). realmName: 当前 realm 对象的 name. 调用父类的 getName() 方法即可
String realmName = getName();
//4). 盐值. 
ByteSource credentialsSalt = ByteSource.Util.bytes(username);

SimpleAuthenticationInfo info = null; //new SimpleAuthenticationInfo(principal, credentials, realmName);
info = new SimpleAuthenticationInfo(principal, credentials, credentialsSalt, realmName);
return info;
}

AuthenticationException

•             如果身份验证失败请捕获 AuthenticationException 或其子类

•             最好使用如“用户名/密码错误”而不是“用户名错误”/“密码错误”，

防止一些恶意用户非法扫描帐号库；

认证流程

身份认证流程

•        1、首先调用 Subject.login(token)进行登录，其会自动委托给SecurityManager

•        2、SecurityManager 负责真正的身份验证逻辑；它会委托给

Authenticator进行身份验证；

•        3、Authenticator 才是真正的身份验证者，Shiro API 中核心的身份认证入口点，此处可以自定义插入自己的实现；

•        4、Authenticator 可能会委托给相应的AuthenticationStrategy 进行多 Realm 身份验证，默认 ModularRealmAuthenticator 会调用AuthenticationStrategy 进行多 Realm 身份验证；

•        5、Authenticator 会把相应的token 传入 Realm，从 Realm 获取身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处可以配置多个Realm，将按照相应的顺序及策略进行访问。

Realm

•            Realm：Shiro 从 Realm 获取安全数据（如用户、角色、权限），即 SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作

•            Realm接口如下：

Realm

•            一般继承 AuthorizingRealm（授权）即可；其继承了AuthenticatingRealm（即身份验证），而且也间接继承了CachingRealm（带有缓存实现）。        

Realm 的继承关系：

Authenticator

•             Authenticator 的职责是验证用户帐号，是Shiro API 中身份验证核心的入口点：如果验证成功，将返回AuthenticationInfo 验证信息；此信息中包含了身份及凭证；如果验证失败将抛出相应的AuthenticationException 异 常

•             SecurityManager 接口继承了 Authenticator，另外还有一个

ModularRealmAuthenticator实现，其委托给多个Realm进行

验证，验证规则通过 AuthenticationStrategy        接口指定

AuthenticationStrategy

•        AuthenticationStrategy 接口的默认实现：

•        FirstSuccessfulStrategy：只要有一个 Realm 验证成功即可，只返回第

一个 Realm 身份验证成功的认证信息，其他的忽略；

•        AtLeastOneSuccessfulStrategy：只要有一个Realm验证成功即可，和FirstSuccessfulStrategy不同，将返回所有Realm身份验证成功的认证信息；

•        AllSuccessfulStrategy：所有Realm验证成功才算成功，且返回所有

Realm身份验证成功的认证信息，如果有一个失败就失败了。

•        ModularRealmAuthenticator 默认是 AtLeastOneSuccessfulStrategy策略