简单实用! 前后端分离 shiro + springboot +mybatis+ Jwt +redis 实现权限管理

简单实用! 前后端分离 shiro + springboot +mybatis+ Jwt 实现权限管理

​ 之前学习了shiro和Jwt，就想找个项目练一下手，可是b站上没有找到前后端分离加上用shiro和jwt做权限控制的教程。后来看到一篇文章https://blog.csdn.net/weixin_42236404/article/details/89319359，这篇文章对于shiro流程的讲解对我非常有帮助，我用mybatis 和 JWT 结合了一下这篇文章的源码。

​ 代码地址:https://github.com/iupikachu/ShiroDemo

1.Jwt简介

json web token 是一个开放标准，通过 json 的形式作为 web 应用中的令牌，用于在各方之间安全地将信息作为 json 对象传输。

1.1 Jwt能做什么？

1. 授权

​ 一旦用户登录，每个后续请求将包括JWT,从而允许该用户访问该令牌允许的路由，服务和资源。 单点登录是当今广泛使用JWT的一项功能。

2. 信息交换

   jwt 可以很好的在各方之间安全的传输信息。因为可以对 jwt进行签名，所以可以确保发件人的身份。签名是用标头和有效负载计算的，还可以验证内容是否被篡改。

ps: 在本项目中 Jwt 起到用户凭证和保存用户简单信息的作用。

本人学习视频：https://www.bilibili.com/video/BV1i54y1m7cP

2.1 Shiro简介

Apache Shiro是Java的一个安全框架。目前，使用Apache Shiro的人越来越多，因为它相当简单，对比Spring Security，可能没有Spring Security做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的Shiro就足够了。

本人学习视频:https://www.bilibili.com/video/BV1uz4y197Zm

3.开始

3.1 使用的依赖

<!-- shiro-->
      <dependency>
         <groupId>org.apache.shiro</groupId>
         <artifactId>shiro-spring</artifactId>
         <version>1.3.2</version>
      </dependency>
      <!--mp-->
      <dependency>
         <groupId>com.baomidou</groupId>
         <artifactId>mybatis-plus-boot-starter</artifactId>
         <version>3.2.0</version>
      </dependency>
        <!-- 引入jwt-->
        <dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>3.11.0</version>
        </dependency>

3.2 自定义的Token

public class JwtToken implements AuthenticationToken {
   

    private String token;

    public JwtToken(String jwt){
   
        this.token = jwt;
    }

    @Override
    public Object getPrincipal() {
   
        return token;
    }
  
    @Override
    public Object getCredentials() {
   
        return token;
    }
}

3.3 自定义Filter

@Component
public class AuthFilter extends AuthenticatingFilter {
   
    private static final ObjectMapper MAPPER = new ObjectMapper();
    /**
     *  把请求中的token封装为自定义的token
     */
    @Override
    protected AuthenticationToken createToken(ServletRequest servletRequest, ServletResponse servletResponse) throws Exception {
   
        System.out.println("进入createToken");
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        String jwt = request.getHeader("Authorization");
        if(org.springframework.util.StringUtils.isEmpty(jwt)){
   
            return null;
        }
        return new JwtToken(jwt);

    }
    /**
     * 步骤1. 将所有请求拒绝访问除了（Option请求）
     */
    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {
   
        System.out.println("---进入 isAccessAllowed---");
        if(((HttpServletRequest)request).getMethod().equals(RequestMethod.OPTIONS.name())){
   
             return true; // 放行OPTIONS请求
        }
        return false;
    }

    /**
     *  步骤2.拒绝访问的请求，会调用 onAccessDenied方法,onAccessDenied方法先获取 token,再调用executeLogin方法
     */
    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
   
        // 先获取请求的token,token 不存在的话就返回
        System.out.println("---进入onAccessDenied---");
        String jwt = JWTUtils