Shiro+JWT超详解

最新推荐文章于 2023-06-20 15:41:16 发布
最新推荐文章于 2023-06-20 15:41:16 发布
阅读量1w 收藏 68
点赞数 10
分类专栏： web后端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_39159736/article/details/116483650
版权

shiro这几篇博客比较好

https://www.jianshu.com/p/6abc22ec3cb8

https://blog.csdn.net/mine_song/article/details/61616259

jwt原理这几篇博客比较好

https://www.jianshu.com/p/e34a579c63a0

https://learnku.com/articles/17883

https://blog.csdn.net/weixin_43409309/article/details/102569913

首先我们来分别看看shiro和jwt的作用：

 

shiro：

 

三个核心组件

Subject, SecurityManager 和 Realms.
①Subject：即“当前操作用户”。但是，在Shiro中，Subject这一概念并不仅仅指人，也可以是第三方进程、后台帐户（Daemon Account）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。但考虑到大多数目的和用途，你可以把它认为是Shiro的“用户”概念。Subject代表了当前用户的安全操作，SecurityManager则管理所有用户的安全操作。
②SecurityManager：它是Shiro框架的核心，典型的Facade模式，Shiro通过SecurityManager来管理内部组件实例，并通过它来提供安全管理的各种服务。
③Realm： Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息。

 

登录认证过程简述

①调用subject.login方法进行登录，其会自动委托给securityManager,login方法进行登录;
②securityManager通过 Authenticator(认证器)进行认证
③Authenticator的实现ModularRealmAuthenticaton调用realm从ini配置文件取用户真实的账号和密码，这里使用的是IniRealm ( shiro自带，相当于数据源) ;

④IniRealm先根据token中的账号去ini中找该账号,如果找不到则给ModularRealmAuthenticator返回null ,如果找到则匹配密码，匹配密码成功则认证通过。

 

 

 

 

 

 

 

 

jwt：JSON Web Token，是一种特殊的token，因此我们在来看看Token是干嘛的？

一、Token

                              token 是一串字符串，通常因为作为鉴权凭据，最常用的使用场景是 API 鉴权，用户凭证。

1. API 鉴权
那么 API 用户凭证一般有几种方式呢？我大概整理了如下：

cookie + session：和平常 web 登陆一样的鉴权方式，很常见，不再赘述。客户端和服务器通过sessionID维持会话。

HTTP Basic：将账号和密码拼接然后 base64 编码加到 header 头中。很显然，因为账号和密码几乎是『明文』传输的，而且每次请求都传，安全性可想而知。

HTTP Digest：将账号和密码加上其他一些信息拼接然后取摘要加到 header 头中。这个安全性比上面要好一点，因为如果是取摘要的话，即使信息段被截取，也无法轻易破解出来（当然也是有破解的可能）。

不过其实最大的问题还是：每次请求都要对账号、密码取一次摘要，也就是说每次请求都要有账号和密码，也就是说账号和密码要么缓存一下，要么就每次请求要去用户输一次密码，这样显然不合适。同样，上面的 Basic 也存在这样的问题。

Token：token 通过一次登录验证，得到一个鉴权字符串，然后以后带着这个鉴权字符串进行后续操作，这样就可以解决客户端每次请求不需要带账号密码的问题，每次请求只要带着token即可，而且也不需要反复使用账号和密码。

二 ：Token和cookie + session的区别：

       一、session的状态保持及弊端


                当用户第一次通过浏览器使用用户名和密码访问服务器时，服务器会验证用户数据，验证成功后在服务器端写入session数据，向客户端浏览器返回sessionid，浏览器将sessionid保存在cookie中，当用户再次访问服务器时，会携带sessionid，服务器会拿着sessionid从数据库获取session数据，然后进行用户信息查询，查询到，就会将查询到的用户信息返回，从而实现状态保持。

 

弊端：

1、服务器压力增大

通常session是存储在内存中的，每个用户通过认证之后都会将session数据保存在服务器的内存中，而当用户量增大时，服务器的压力增大。

2、CSRF跨站伪造请求攻击

session是基于cookie进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。

3、扩展性不强

如果将来搭建了多个服务器，虽然每个服务器都执行的是同样的业务逻辑，但是session数据是保存在内存中的（不是共享的），用户第一次访问的是服务器1，当用户再次请求时可能访问的是另外一台服务器2，服务器2获取不到session信息，就判定用户没有登陆过。

        二、token认证机制，其实这是jwt的功能。。。

 

jwt和最早的token的区别是：

WT全称JSON Web Token，由三部分组成: header(头)、payload(载体)、signature(签名)。 随着技术的发展，分布式web应用的普及，通过session管理用户登录状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去取redis中的缓存的用户信息，随着之后jwt的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单。

 

             token与session的不同主要在：：

①认证成功后，会对当前用户数据进行加密，生成一个加密字符串token，返还给客户端（服务器端并不进行保存）

②浏览器会将接收到的token值存储在Local Storage中，（通过js代码写入Local Storage，通过js获取，并不会像cookie一样自动携带）

③再次访问时服务器端对token值的处理：服务器对浏览器传来的token值进行解密，解密完成后进行用户数据的查询，如果查询成功，则通过认证，实现状态保持，所以，即时有了多台服务器，服务器也只是做了token的解密和用户数据的查询，它不需要在服务端去保留用户的认证信息或者会话信息，这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利，解决了session扩展性的弊端。

 

Token 的种类
一般来说 token 主要三种：

          自定义的 token：开发者根据业务逻辑自定义的 token
          JWT：JSON Web Token，定义在 RFC 7519 中的一种 token 规范
          Oauth2.0：定义在 RFC 6750 中的一种授权规范，但这其实并不是一种 token，只是其中也有用到 token

接下来主要讲解JWT:  这是一个真实的jwt字符串

header={typ=JWT, alg=HS512},body={sub=7, iat=1620354034, exp=1620958834},signature=JAiLPfYv4cetlP1AX678ERwf4aPTUhEXONP9LhWTJrxjdB2PgcJvSVgIV4oXC0Cb7Ivb-_EPcet-C-NU3VJvnQ

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

qq_39159736
关注
  • 10
    点赞
  • 踩
  • 68
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
SpringBoot整合Shiro+JWT
05-15
本Demo案例为SpringBoot整合Shiro + JWT实现用户认证，代码注释全都有以及sql文件都已经打包，下载之后刷新pom依赖即可直接运行。
shiro jwt登录认证
05-20
该项目使用了springboot、mybaits-plus、jwt、shiro、redis。mybaits-plus基本没用，只做了一次数据库查询，redis暂时不使用，登录验证成功后再追加redis操作。
手把手教你Shiro整合JWT实现登录认证
Huangjiazhen711的博客
10-25 5726
Component/*** 限定这个realm只能处理JwtToken*/@Override}/*** 授权(授权部分这里就省略了)*/@Override// 获取到用户名，查询用户权限}/*** 认证*/@Override// 获取token信息// 校验token：未校验通过或者已过期if (!throw new AuthenticationException("token已失效，请重新登录");}//用户信息。
从零构建后端项目-配置Shiro+JWT
chengbo_eva的博客
06-20 2161
从零构建后端项目-配置Shiro+JWT 进阶篇
springboot集成shiro+jwt详解+完整实例
Timmer的博客
05-26 5620
目录 简介 目的 需要的jar 集成过程 1.配置shiro 2.创建自定义Realm 2.1 LoginRealm用于处理用户登录 2.2 JwtRealm用于在登录之后，用户的token是否正确以及给当前用户授权等 2.3OurModularRealmAuthenticator用于匹配的相应的Realm 2.4 DataAutoToken及实现类 2.5JwtFilter处理在shiro配置的自定义的Filter 2.6 controller层登录和其他接口 2.7 se...
springboot shiro jwt实现认证和授权
myli92的博客
03-16 2241
1.shiro，jwt，oauth2.0是什么？ Shiro：权限框架，可在C/S下运行。 shiro是一套权限管理框架，包括认证、授权等，在使用时直接写相应的接口（小而简单的Shiro就足够） jwt：是一个鉴权生成加密token的一个名称。 oauth2.0 :一种权限实现标准，是一种安全的授权框架，提供了一套详细的授权机制。用户或应用可以通过公开的或私有的设置，使用第三方认证和授权。 Shiro 有三大核心组件，即 Subject、SecurityManager 和 Realm。 2.依赖引
Shiro + JWT + SpringBoot + MySQL + Redis(Jedis)实现无状态鉴权机制
10-17
Shiro + JWT + SpringBoot + MySQL + Redis(Jedis)实现无状态鉴权机制(Restful风格API)(改为数据库形式(MySQL)) 博客源码 附件
springboot的模块化开发，集成shiro+jwt实现restful接口的token认证
05-14
最近在搞springboot的模块化开发，集成了shiro+jwt实现restful接口的token认证。 需新增测试表： CREATE TABLE `t_user` ( `user_id` int(11) unsigned zerofill NOT NULL AUTO_INCREMENT, `user_name` varchar(32...
SpringBoot+Shiro+JWT+Jedis+MybatisPlus+前后端分离+基于url通用权限管理系统
01-25
前后端分离（这里只展示后台），基于url拦截的通用权限管理系统，采用jwt+redis的机制取代传统session+cookie的认证授权方式，shiro框架，配置Jedis，以redis作缓存
story-admin:Springboot+Shiro+jwt+Redis+Mybatis 有效期内Token刷新方案
05-14
story-admin本项目为前后端分离的Web应用后端程序，采用技术框架如下：springboot v2.1.2.RELEASEshirojwtredismybatis-plus v3.1.2包含代码生成器文档swagger2,使用jwt采用token有效期内刷新机制更新Token。...
企业员工角色权限管理平台（SpringBoot2.0+Mybatis+Shiro+Vue）
08-07
课程简介：历经半个多月的时间，Debug亲自撸的 “企业员工角色权限管理平台” 终于完成了。正如字面意思，本课程讲解的是一个真正意义上的、企业级的项目实战，主要介绍了企业级应用系统中后端应用权限的管理，其中主要涵盖了六大核心业务模块、十几张数据库表。 其中的核心业务模块主要包括用户模块、部门模块、岗位模块、角色模块、菜单模块和系统日志模块；与此同时，Debug还亲自撸了额外的附属模块，包括字典管理模块、商品分类模块以及考勤管理模块等等，主要是为了更好地巩固相应的技术栈以及企业应用系统业务模块的开发流程！ 核心技术栈列表： 值得介绍的是，本课程在技术栈层面涵盖了前端和后端的大部分常用技术，包括Spring Boot、Spring MVC、Mybatis、Mybatis-Plus、Shiro(身份认证与资源授权跟会话等等)、Spring AOP、防止XSS攻击、防止SQL注入攻击、过滤器Filter、验证码Kaptcha、热部署插件Devtools、POI、Vue、LayUI、ElementUI、JQuery、HTML、Bootstrap、Freemarker、一键打包部署运行工具Wagon等等，如下图所示： 课程内容与收益： 总的来说，本课程是一门具有很强实践性质的“项目实战”课程，即“企业应用员工角色权限管理平台”，主要介绍了当前企业级应用系统中员工、部门、岗位、角色、权限、菜单以及其他实体模块的管理；其中，还重点讲解了如何基于Shiro的资源授权实现员工-角色-操作权限、员工-角色-数据权限的管理；在课程的最后，还介绍了如何实现一键打包上传部署运行项目等等。如下图所示为本权限管理平台的数据库设计图： 以下为项目整体的运行效果截图： 值得一提的是，在本课程中，Debug也向各位小伙伴介绍了如何在企业级应用系统业务模块的开发中，前端到后端再到数据库，最后再到服务器的上线部署运行等流程，如下图所示：
Shiro整合JWT实现认证和权限鉴定（执行流程清晰详细）
qq_25046827的博客
04-23 8322
文章目录一、前情提要二、整合Shiro与JWT1、编写JWT工具类2、编写JWTToken3、编写JWTFilter4、编写JWTRealm5、编写Shiro配置类三、编写异常处理类四、编写Controller 一、前情提要 JWT：服务端根据规范生成一个令牌（token），并且发放给客户端（保存在客户端）。此时客户端请求服务端的时候就可以携带者令牌，以令牌来证明自己的身份信息。 Shiro：Java的一个安全（权限）框架，用户登录时把身份信息（用户名/手机号/邮箱地址等）和凭证信息（密码/证书等）封装成
Shiro和JWT简介
小青龙，创造，变强
02-27 720
Shiro和JWT简介 什么是Shiro？ 什么是JWT？ 什么是Shiro。什么是jwt Shiro和JWT简介 什么是Shiro？ 什么是JWT？ 什么是Shiro。什么是jwt Shiro和JWT简介 什么是Shiro？ 什么是JWT？ 什么是Shiro。什么是jwt Shiro和JWT简介 什么是Shiro？ 什么是JWT？ 什么是Shiro。什么是jwt Shiro和JWT简介 什么是Shiro？ 什么是JWT？ 什么是Shiro。什么是jwt
Shiro框架和JWT
市民景先生
07-11 2453
目录shiro简介1.认证2.授权3.shiro靠什么做认证与授权JWT简介创建JWTUtil工具类令牌封装成对象AuthenticationToken类AuthorizingRealm类刷新令牌的新机制 创建存储令牌的媒介类创建过滤器创建ShiroConfigshiro是java非常有名的认证与授权的框架，使用JavaEE中JAAS功能。设计简单，SpringSecurity必须使用spring项目中。核验用户身份，认证登录，登录后Shiro要记录用户成功登录的凭证比再认证更加精细度的划分用户的行为。比如
JWT与Shiro框架认证与授权详解
weixin_60414376的博客
01-29 3727
一）JWT与Shiro基础： 1、单点登录： 了解JWT之前，我们先了解一下JWT的最多应用场景----单点登录。 图中有四个系统，sso只有登录的功能，1系统处理订单，2系统处理购物车，3系统处理用于数据的。如果没有单点登录，管理者就需要登录4次系统输入4次用户名和密码，这就导致我们要输入很多次用户名和密码。于是出现了单点登录，只需要在sso登录一次，然后所有与其绑定的信任系统都不用再次登录就可以使用。 再举一个简单的例子，淘宝和天猫是两个相互信任的系统，你会发现当你登录了天猫或者淘宝之后另一
Shiro+Jwt总结
m0_51433562的博客
03-19 8777
Shiro和JWT整合实现用户的认证和授权
Shiro和JWT技术简介
無業䢟民的博客
01-18 2388
一、Shiro简介 Shiro是Java领域非常知名的认证（Authentication）与授权（Authorization）框架，用以替代JavaEE中的JAAS功能。相较于其他认证与授权框架，Shiro设计的非常简单，所以广受好评。任意JavaWeb项目都可以使用Shiro框架，而Spring Security必须要使用在Spring项目中。所以Shiro的适用性更加广泛。像什么JFinal和Nutz非Spring框架都可以使用Shiro，而不能使用Spring Security框架。 什么是认证？
Shiro+JWT
qq_32699009的博客
09-13 2250
apache旗下的一个开源框架，实现用户身份认证，权限授权，加密，会话管理等功能 内容均转载自Shiro和JWT MD5加密 概述 MD5消息摘要算法，属Hash算法一类。MD5算法对输入任意长度的消息进行运行，产生一个128位的消息摘要(32位的数字字母混合码)。 也就是0123456789ABCDEF构成的混合数字码 特点 不可逆：相同数据的MD5值肯定一样，不同数据的MD5值不一样。 压缩性：任意长度的数据，算出的MD5值长度都是固定的 弱抗碰撞：已知原数据和MD5值，想找到一个具有相同MD5值是非常
【shiro】shiro整合JWT——4.JWT Token刷新/续签
kevin的博客
06-02 2762
之前在写shiro整合JWT的时候，在ShiroRealm中有写到token的刷新；但后来看了很多别人的项目demo和博客发现之前的写法不太合适。这里参考之前看过的各个项目与博客，延续这之前shiro整合JWT内容的做了一波缝合怪。主要对之前的ShiroRealm，JwtUtil，JwtFilter类进行修改。ps：本文主要以记录核心思路为主。
springboot整合shiro jwt
最新发布
09-09
对于Spring Boot整合Shiro JWT，你可以按照以下步骤进行操作： 1. 添加依赖：在你的Spring Boot项目中，添加Shiro和JWT的依赖。可以在`pom.xml`文件中添加以下依赖： ```xml <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring-boot-starter</artifactId> <version>1.8.0-RC2</version> </dependency> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency> ``` 2. 创建Shiro配置类：创建一个配置类，用于配置Shiro的相关组件。可以在该类中配置Shiro的Realm、Session管理器等。一个简单的示例配置如下： ```java @Configuration public class ShiroConfig { @Bean public Realm realm() { return new MyRealm(); } @Bean public DefaultWebSecurityManager securityManager(Realm realm) { DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(); securityManager.setRealm(realm); return securityManager; } @Bean public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) { ShiroFilterFactoryBean filterFactoryBean = new ShiroFilterFactoryBean(); filterFactoryBean.setSecurityManager(securityManager); // 配置过滤规则 Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>(); // 添加不需要认证的路径，如登录接口等 filterChainDefinitionMap.put("/login", "anon"); // 添加需要认证的路径，如需要登录才能访问的接口等 filterChainDefinitionMap.put("/**", "authc"); filterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap); return filterFactoryBean; } } ``` 3. 创建自定义Realm：创建一个自定义的Realm类，用于实现Shiro的认证和授权逻辑。在该类中，你需要处理JWT的验证和解析。一个简单的示例如下： ```java public class MyRealm extends AuthorizingRealm { @Override public boolean supports(AuthenticationToken token) { return token instanceof JwtToken; } @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { // 处理授权逻辑，如获取用户角色、权限等信息 return null; } @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { JwtToken jwtToken = (JwtToken) token; String jwt = (String) jwtToken.getPrincipal(); // 验证JWT的合法性，如验证签名、过期时间等 // 如果验证通过，可以从JWT中获取用户信息，如用户名、角色等 return new SimpleAuthenticationInfo(jwt, jwt, getName()); } } ``` 4. 创建登录接口：创建一个登录接口，用于验证用户身份并生成JWT。可以使用Spring MVC或其他框架来实现该接口。 ```java @RestController public class LoginController { @Autowired private UserService userService; @PostMapping("/login") public String login(@RequestBody LoginDTO loginDTO) { // 根据用户名和密码验证用户身份，验证通过后生成JWT并返回给客户端 // 可以使用jjwt库来生成JWT return JwtUtils.generateToken(loginDTO.getUsername()); } } ``` 这样，你就完成了Spring Boot与Shiro JWT的整合。当客户端发送带有JWT的请求时，Shiro会通过自定义的Realm进行验证并授权访问。 请注意，这只是一个简单的示例，实际应用中可能需要根据需求进行更复杂的配置和实现。另外，为了安全起见，建议对JWT进行签名和加密，以防止篡改和泄露敏感信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值