Shiro安全框架

1.Shiro概述

Shiro是apache旗下一个开源安全框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。使用shiro就可以非常快速的完成认证、授权等功能的开发，降低系统成本。Shiro安全框架

2.Shiro概要架构

在概念层面，Shiro 架构包含三个主要的理念
其中：
1)Subject :主体对象，负责提交用户认证和授权信息。
2)SecurityManager：安全管理器，负责认证，授权等业务实现。
3)Realm：领域对象，负责从数据层获取业务数据。

3.Shiro详细架构

Shiro框架进行权限管理时,要涉及到的一些核心对象,主要包括:认证管理对象,授权管理对象,会话管理对象,缓存管理对象,加密管理对象以及Realm管理对象(领域对象:负责处理认证和授权领域的数据访问题)等，如图
其中：
1)Subject（主体）:与软件交互的一个特定的实体（用户、第三方服务等）。
2)SecurityManager(安全管理器) :Shiro 的核心，用来协调管理组件工作。
3)Authenticator(认证管理器):负责执行认证操作。
4)Authorizer(授权管理器):负责授权检测。
5)SessionManager(会话管理):负责创建并管理用户 Session 生命周期，提供一个强有力的 Session 体验。
6)SessionDAO:代表 SessionManager 执行 Session 持久（CRUD）动作，它允许任何存储的数据挂接到 session 管理基础上。
7)CacheManager（缓存管理器）:提供创建缓存实例和管理缓存生命周期的功能。
8)Cryptography(加密管理器):提供了加密方式的设计及管理。
9)Realms(领域对象):是shiro和你的应用程序安全数据之间的桥梁。

4.Shiro基本环境配置

4.1)添加shiro依赖
实用spring整合shiro时，需要在pom.xml中添加如下依赖：

<dependency>
   <groupId>org.apache.shiro</groupId>
   <artifactId>shiro-spring</artifactId>
   <version>1.4.1</version>
</dependency>

4.2)Shiro核心对象配置

@Configuration
public class SpringShiroConfig {
	@Bean
	public SecurityManager securityManager(Realm realm) {
		DefaultWebSecurityManager sManager=new DefaultWebSecurityManager();
		sManager.setRealm(realm);
		return sManager;
	}
	/**
	 *  通过此对象设置资源匿名访问、认证访问等规则
	 * @param securityManager
	 * @return
	 */
	@Bean
	public ShiroFilterFactoryBean shiroFilterFactory (SecurityManager securityManager) {
		ShiroFilterFactoryBean sfBean = new ShiroFilterFactoryBean();
		sfBean.setSecurityManager(securityManager);
		sfBean.setLoginUrl("/doLoginUI");
		//定义map指定请求过滤规则(哪些资源允许匿名访问,哪些必须认证访问)
		LinkedHashMap<String,String> map = new LinkedHashMap<>();
		//静态资源允许匿名访问:"anon"
		map.put("/static/**","anon");
		map.put("/doLogin","anon");
		//除了匿名访问的资源,其它都要认证("authc")后访问
		map.put("/**","authc");
		sfBean.setFilterChainDefinitionMap(map);
		return sfBean;
	}
}

4.3)服务端Controller实现
第一步：在controller中添加一个呈现登录页面的方法,关键代码如下：

@RequestMapping("doLoginUI")
public String doLoginUI(){
		return "login";
}

4.4)Service接口及实现

@Service
public class ShiroUserRealm extends AuthorizingRealm {

	@Autowired
	private UserMapper userMapper;
		
	/**
	 * 设置凭证匹配器(与用户添加操作使用相同的加密算法)
	 */
	@Override
	public void setCredentialsMatcher(
	    CredentialsMatcher credentialsMatcher) {
		//构建凭证匹配对象
		HashedCredentialsMatcher cMatcher=
		new HashedCredentialsMatcher();
		//设置加密算法
		cMatcher.setHashAlgorithmName("MD5");
		//设置加密次数
		cMatcher.setHashIterations(1);
		super.setCredentialsMatcher(cMatcher);
	}
	/**
	 * 通过此方法完成认证数据的获取及封装,系统底层会将认证数据传递认证管理器，由认证管理器完成认证操作。
	 */
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
		//1.获取用户名(用户页面输入)
		UsernamePasswordToken upToken = (UsernamePasswordToken)token;
		String username = upToken.getUsername();
		//2.基于用户名查询用户信息
		User user = userMapper.findUserByUserName(username);
		//3.判定用户是否存在
		if(user == null) throw new UnknownAccountException();
		SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(
									user,//principal (身份)
									user.getPassword(),//hashedCredentials
									getName());//realName
		//6.返回封装结果
		return info;//返回值会传递给认证管理器(后续认证管理器会通过此信息完成认证操作)
	}
	@Override
	protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
		return null;
	}
}

4.5)Controller 类实现

@Controller
public class PageContoller {
	@RequestMapping("doLoginUI")
	public String doLoginUI(){
		return "login";
	}
	@RequestMapping("doStarterUI")
	public String doStarterUI(){
		return "starter";
	}
	@RequestMapping("doLogin")
	@ResponseBody
	public JsonResult doLogin(String username,String password){
		//1.获取Subject对象
		Subject subject = SecurityUtils.getSubject();
		//2.通过Subject提交用户信息,交给shiro框架进行认证操作
		//2.1对用户进行封装
		UsernamePasswordToken token = new UsernamePasswordToken(
						username,//身份信息
						password);//凭证信息
		//2.2对用户信息进行身份认证
		subject.login(token);
		return new JsonResult("login ok");
	}
}

4.6)异步登陆操作实现

function doLogin(){
	  var params={
		 username:$("#username").val(),
		 password:$("#password").val()
	  }
	  var url="/doLogin";
	  console.log("params",params);
	  $.post(url,params,function(result){
		  if(result.state==1){
			//跳转到doStarterUI对应的页面
			location.href="doStarterUI?t="+Math.random();
		  }else{
			$(".login-box-msg").html(result.message); 
		  }
		  return false;//防止刷新时重复提交
	  });
  } 

shiro框架的登录到此就实现了，第一次写博客，有问题请私聊，Thank you，下一篇shiro的授权