码云例子:https://gitee.com/luxins/shiroDemo1.git
1.简介
• Apache Shiro 是 Java 的一个安全（权限）框架。
• Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在
JavaSE 环境，也可以用在 JavaEE 环境。
• Shiro 可以完成：认证、授权、加密、会话管理、与Web 集成、缓存
等。
• 下载：http://shiro.apache.org/
2.功能简介
• 基本功能点如下图所示：
• Authentication：身份认证/登录，验证用户是不是拥有相应的身份；
• Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用
户是否能进行什么操作，如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户
对某个资源是否具有某个权限；
• Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有
信息都在会话中；会话可以是普通 JavaSE 环境，也可以是 Web 环境的；
• Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
• Web Support：Web 支持，可以非常容易的集成到Web 环境；
• Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可
以提高效率；
• Concurrency：Shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能
• 把权限自动传播过去；
• Testing：提供测试支持；
• Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；
• Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了
3.Shiro 架构 (Shiro外部来看)
• 从外部来看Shiro ，即从应用程序角度的来观察如何使用 Shiro 完成
工作：
• Subject：应用代码直接交互的对象是 Subject，也就是说 Shiro 的对外
API 核心就是 Subject。Subject 代表了当前“用户”， 这个用户不一定
是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫，
机器人等；与 Subject 的所有交互都会委托给 SecurityManager；
Subject 其实是一个门面，SecurityManager 才是实际的执行者；
• SecurityManager：安全管理器；即所有与安全有关的操作都会与
SecurityManager 交互；且其管理着所有 Subject；可以看出它是 Shiro
的核心，它负责与 Shiro 的其他组件进行交互，它相当于 SpringMVC 中
DispatcherServlet 的角色
• Realm：Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说
SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户
进行比较以确定用户身份是否合法；也需要从 Realm 得到用户相应的角色/
权限进行验证用户是否能进行操作；可以把 Realm 看成 DataSource
4.Shiro 架构 (Shiro内部来看)
• Subject：任何可以与应用交互的“用户”；
• SecurityManager ：相当于SpringMVC 中的 DispatcherServlet；是 Shiro 的心脏；
所有具体的交互都通过 SecurityManager 进行控制；它管理着所有 Subject、且负责进
行认证、授权、会话及缓存的管理。
• Authenticator：负责 Subject 认证，是一个扩展点，可以自定义实现；可以使用认证
策略（Authentication Strategy），即什么情况下算用户认证通过了；
• Authorizer：授权器、即访问控制器，用来决定主体是否有权限进行相应的操作；即控
制着用户能访问应用中的哪些功能；
• Realm：可以有 1 个或多个 Realm，可以认为是安全实体数据源，即用于获取安全实体
的；可以是JDBC 实现，也可以是内存实现等等；由用户提供；所以一般在应用中都需要
实现自己的 Realm；
• SessionManager：管理 Session 生命周期的组件；而 Shiro 并不仅仅可以用在 Web
环境，也可以用在如普通的 JavaSE 环境
• CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据
基本上很少改变，放到缓存中后可以提高访问的性能
• Cryptography：密码模块，Shiro 提高了一些常见的加密组件用于如密码加密/解密。
与Web 集成
• Shiro 提供了与 Web 集成的支持，其通过一个
ShiroFilter 入口来拦截需要安全控制的URL，然后
进行相应的控制
• ShiroFilter 类似于如 Strut2/SpringMVC 这种
web 框架的前端控制器，是安全控制的入口点，其
负责读取配置（如ini 配置文件），然后判断URL
是否需要登录/权限等工作。
ShiroFilter:
部分细节
• [urls] 部分的配置，其格式是： “url=拦截器[参数]，拦截
器[参数]”；
• 如果当前请求的 url 匹配 [urls] 部分的某个 url 模式，将会
执行其配置的拦截器。
• anon（anonymous） 拦截器表示匿名访问（即不需要登
录即可访问）
• authc （authentication）拦截器表示需要身份认证通过后
才能访问
shiro的默认过滤器
URL 匹配模式
• url 模式使用 Ant 风格模式
• Ant 路径通配符支持 ?、*、**，注意通配符匹配不
包括目录分隔符“/”：
– ?：匹配一个字符，如 /admin? 将匹配 /admin1，但不
匹配 /admin 或 /admin/；
– *：匹配零个或多个字符串，如 /admin 将匹配 /admin、
/admin123，但不匹配 /admin/1；
– ：匹配路径中的零个或多个路径，如 /admin/ 将匹
配 /admin/a 或 /admin/a/b
URL 匹配顺序
• URL 权限采取第一次匹配优先的 方式，即从头开始
使用第一个匹配的 url 模式对应的拦截器链。
• 如：
– /bb/=filter1
– /bb/aa=filter2
– /=filter3
– 如果请求的url是“/bb/aa”，因为按照声明顺序进行匹
配，那么将使用 filter1 进行拦截。
认证/登录(先做整合后再测试)
为啥使用MD5盐值加密:
在doGetAuthenticationInfo的返回值创建SimpleAuthenticationInfo 对象的时候需要使用比较复杂的构造器 SimpleAuthenticationInfo Info=new SimpleAuthenticationInfo(username, credentials,salt,getName());盐值需要唯一:一般使用随机字符串或者userId;
使用
ByteSource salt=ByteSource.Util.bytes(username);//盐
Object simpleHash = new SimpleHash("MD5","123",salt,1024);进行计算加密后的值.
密码比对是通过AuthorizingRealm 的credentialsMatcher属性进行比对token中的和SimpleAuthenticationInfo
1.获取当前subject对象
Subject subject= SecurityUtils.getSubject();
2.测试当前用户是否认证,即是否登录了,调用subject的isAuthenticated();
boolean authenticated = subject.isAuthenticated();
3.若当前没有认证,则把用户名密码封装为UsernamePasswordToken对象
1).创建一个表单页面
2).把请求提交到SpringMVC的handler
3)获取用户名密码
4.代用subject的login(AuthenticationToken token)方法执行登录
@RequestMapping("/login")
public String add(User u){
Subject subject= SecurityUtils.getSubject();
if(!subject.isAuthenticated()){
UsernamePasswordToken usernamePasswordToken=new UsernamePasswordToken(u.getName(),u.getAge());
usernamePasswordToken.setRememberMe(true);
try {
subject.login(usernamePasswordToken);
}catch (UnknownAccountException e){
System.out.println("没有该账户");
}catch (IncorrectCredentialsException e){
System.out.println("密码错误");
}catch (LockedAccountException e){
System.out.println("账户被锁定");
}catch (Exception e){
System.out.println("登录失败");
}
}
return "index";
}
5.自定义realm的方法,从数据库中获取相应的数据,返回给给shiro
1).extends AuthorizingRealm
2).实现方法 doGetAuthenticationInfo(AuthenticationToken authenticationToken)
6.由shiro进行密码比对
public class ShiroRealm extends AuthorizingRealm {
@Override
public String getName() {
return super.getName();
}
//认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
System.out.println("-----------"+authenticationToken);
UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
String username = token.getUsername();
System.out.println("------->"+username);
String s = token.getPassword().toString();
//加盐
if ("123".equals(username)){
throw new UnknownAccountException("用户不存在");
}if ("123456".equals(username)){
throw new IncorrectCredentialsException("密码错误");
}
//SimpleAuthenticationInfo 中传入的是数据库中查询的username和password
SimpleAuthenticationInfo Info=new SimpleAuthenticationInfo(username, "64c8b1e43d8ba3115ab40bcea57f010b", getName());
//如果加盐
String credentials="";
if ("123".equals(username)){
throw new UnknownAccountException("用户不存在");
}if ("123456".equals(username)){
throw new IncorrectCredentialsException("密码错误");
}if ("admin".equals(username)){
credentials="c41d7c66e1b8404545aa3a0ece2006ac";
}
//加盐
ByteSource salt=ByteSource.Util.bytes(username);//盐
//SimpleAuthenticationInfo中封装的是从数据库中查询的的username和password
SimpleAuthenticationInfo Info=new SimpleAuthenticationInfo(username, credentials,salt,getName());
return Info;
}
//授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
/*
* 1.继承AuthorizingRealm类,并且实现doGetAuthorizationInfo方法
* 2.AuthorizingRealm继承类AuthenticatingRealm,但是没有实现AuthenticatingRealm中的doGetAuthorizationInfo
* 方法,所以认证和授权只需要继承AuthorizingRealm,同时实现它的两个抽象方法.
*
* */
/*
* 1.从PrincipalCollection获取登录的信息
* 2.从登录信息中获取当前用户的角色和权限(可能会查询数据库)
* 3.创建SimpleAuthorizationInfo对象,并设置roles;
* 4.返回SimpleAuthorizationInfo对象
* */
Object primaryPrincipal = principalCollection.getPrimaryPrincipal();
Set<String> set=new HashSet<>();
if ("user".equals(primaryPrincipal)){
set.add("user");
}
if("admin".equals(primaryPrincipal)){
set.add("admin");
}
SimpleAuthorizationInfo s=new SimpleAuthorizationInfo(set);
return s;
}
//MD5加密
//1.如何把字符串加密为md5
//2.替换realm的CredentialMatcher属性,直接使用HashCredentialMatcher对象,并设置加密方式即可.
将shiro配置文件的自己的realm的bean修改
<bean id="jdbcRealm" class="com.lx.shiro.realms.ShiroRealm">
<!--配置MD5加密-->
<property name="credentialsMatcher">
<bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
//加密方式
<property name="hashAlgorithmName" value="MD5"></property>
//加密次数
<property name="hashIterations" value="1024"></property>
</bean>
</property>
</bean>
取得MD5加密后的字符串:null位置为盐;
public static void main(String[] args) {
//如果需要加盐
//加盐
ByteSource salt=ByteSource.Util.bytes(username);//盐
Object simpleHash = new SimpleHash("MD5","123",null,1024);
System.out.println(simpleHash);
}
}
页面
<%@page contentType="text/html; charset=utf-8" pageEncoding="UTF-8" %>
<html>
<body>
<h2>Hello World!</h2>
<form action="/user/login" method="post">
<input type="text" placeholder="name" name="name">
<input type="text" placeholder="pass" name="age">
<input type="submit" value="Login">
</form>
</body>
</html>
index.jsp
<%@page contentType="text/html; charset=utf-8" pageEncoding="UTF-8" %>
<%@taglib uri="http://shiro.apache.org/tags" prefix="shiro"%>
<html>
<body>
<h2>index html!</h2>
welcome:<shiro:principal> </shiro:principal>
<shiro:hasRole name="admin">
<a href="/admin.jsp">Admin.jsp</a>
</shiro:hasRole>
<shiro:hasRole name="user">
<a href="/user.jsp">User.jsp</a>
</shiro:hasRole>
<a href="/user/logout">注 销</a>
</body>
</html>
unauthorized.jsp
<%@ page contentType="text/html;charset=utf-8"%>
<html>
<body>
<h2>没有权限</h2>
</body>
</html>
其他页面都是空白
身份验证
• 身份验证：一般需要提供如身份 ID 等一些标识信息来表明登录者的身
份，如提供 email，用户名/密码来证明。
• 在 shiro 中，用户需要提供 principals （身份）和 credentials（证
明）给 shiro，从而应用能验证用户身份：
• principals：身份，即主体的标识属性，可以是任何属性，如用户名、
邮箱等，唯一即可。一个主体可以有多个 principals，但只有一个
Primary principals，一般是用户名/邮箱/手机号。
• credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证
书等。
• 最常见的 principals 和 credentials 组合就是用户名/密码了
身份验证基本流程
• 1、收集用户身份/凭证，即如用户名/密码
• 2、调用 Subject.login 进行登录，如果失败将得到相应
的 AuthenticationException 异常，根据异常提示用户
错误信息；否则登录成功
• 3、创建自定义的 Realm 类，继承
org.apache.shiro.realm.AuthorizingRealm 类，实现
doGetAuthenticationInfo() 方法
身份验证示例
AuthenticationException
• 如果身份验证失败请捕获 AuthenticationException 或其子类
• 最好使用如“用户名/密码错误”而不是“用户名错误”/“密码错误”，
防止一些恶意用户非法扫描帐号库；
身份认证流程
• 1、首先调用 Subject.login(token) 进行登录，其会自动委托给
SecurityManager
• 2、SecurityManager 负责真正的身份验证逻辑；它会委托给
Authenticator 进行身份验证；
• 3、Authenticator 才是真正的身份验证者，Shiro API 中核心的身份
认证入口点，此处可以自定义插入自己的实现；
• 4、Authenticator 可能会委托给相应的 AuthenticationStrategy 进
行多 Realm 身份验证，默认 ModularRealmAuthenticator 会调用
AuthenticationStrategy 进行多 Realm 身份验证；
• 5、Authenticator 会把相应的 token 传入 Realm，从 Realm 获取
身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处
可以配置多个Realm，将按照相应的顺序及策略进行访问。
Realm
• Realm：Shiro 从 Realm 获取安全数据（如用户、角色、
权限），即 SecurityManager 要验证用户身份，那么它需
要从 Realm 获取相应的用户进行比较以确定用户身份是否
合法；也需要从Realm得到用户相应的角色/权限进行验证
用户是否能进行操作
• Realm接口如下
• 一般继承 AuthorizingRealm（授权）即可；其继承了
AuthenticatingRealm（即身份验证），而且也间接继承了
CachingRealm（带有缓存实现）。
• Realm 的继承关系：
Authenticator
• Authenticator 的职责是验证用户帐号，是 Shiro API 中身份验
证核心的入口点：如果验证成功，将返回AuthenticationInfo 验
证信息；此信息中包含了身份及凭证；如果验证失败将抛出相应
的 AuthenticationException 异常
• SecurityManager 接口继承了 Authenticator，另外还有一个
ModularRealmAuthenticator实现，其委托给多个Realm 进行
验证，验证规则通过 AuthenticationStrategy 接口指定
AuthenticationStrategy
• AuthenticationStrategy 接口的默认实现：
• FirstSuccessfulStrategy：只要有一个 Realm 验证成功即可，只返回第
一个 Realm 身份验证成功的认证信息，其他的忽略；
• AtLeastOneSuccessfulStrategy：只要有一个Realm验证成功即可，和
FirstSuccessfulStrategy 不同，将返回所有Realm身份验证成功的认证信
息；
• AllSuccessfulStrategy：所有Realm验证成功才算成功，且返回所有
Realm身份验证成功的认证信息，如果有一个失败就失败了。
• ModularRealmAuthenticator 默认是 AtLeastOneSuccessfulStrategy
策略
注销
配置shiro
Controller
页面
授权
• 授权，也叫访问控制，即在应用中控制谁访问哪些资源（如访问页面/编辑数据/页面操作
等）。在授权中需了解的几个关键对象：主体（Subject）、资源（Resource）、权限
（Permission）、角色（Role）。
• 主体(Subject)：访问应用的用户，在 Shiro 中使用 Subject 代表该用户。用户只有授权
后才允许访问相应的资源。
• 资源(Resource)：在应用中用户可以访问的 URL，比如访问 JSP 页面、查看/编辑某些
数据、访问某个业务方法、打印文本等等都是资源。用户只要授权后才能访问。
• 权限(Permission)：安全策略中的原子授权单位，通过权限我们可以表示在应用中用户
有没有操作某个资源的权力。即权限表示在应用中用户能不能访问某个资源，如：访问用
户列表页面查看/新增/修改/删除用户数据（即很多时候都是CRUD（增查改删）式权限控
制）等。权限代表了用户有没有操作某个资源的权利，即反映在某个资源上的操作允不允
许。
• Shiro 支持粗粒度权限（如用户模块的所有权限）和细粒度权限（操作某个用户的权限，
即实例级别的）
• 角色(Role)：权限的集合，一般情况下会赋予用户角色而不是权限，即这样用户可以拥有
一组权限，赋予权限时比较方便。典型的如：项目经理、技术总监、CTO、开发工程师等
都是角色，不同的角色拥有一组不同的权限。
Shiro 支持三种方式的授权：
– 编程式：通过写if/else 授权代码块完成
– 注解式：通过在执行的Java方法上放置相应的注解完成，没有权限将抛出相
应的异常
– JSP/GSP 标签：在JSP/GSP 页面通过相应的标签完成
默认拦截器
• Shiro 内置了很多默认的拦截器，比如身份验证、授权等
相关的。默认拦截器可以参考
org.apache.shiro.web.filter.mgt.DefaultFilter中的枚举
拦截器：
Permissions
• 规则： 资源 标识符：操作：对象实例 例 ID 即对哪个资源的哪个
实例可以进行什么操作. 其 默认支持通配符权限字符串，: 表
示 资源/ / 操作/ / 实例的分割；, 表示 操作的 分割，* 表示 任意资
源/ / 操作/ / 实例。
• 多层次管理：
– 例如：user:query、user:edit
– 冒号 是一个特殊字符，它用来分隔权限字符串的下一 部件：第一部分
是权限被操作的领域（打印机），第二部分是被执行的操作。
– 多个值： 每个 部件能够保护多个值。因此，除了授予用户 user:query
和 user:edit 权限外，也 可以 简单地授予他们一 个： user: query , edit
– 还可以用 用 * 号 代替所有的值，如：user:* ， 也可以写：*:query，表示
某个用户在所有的领域都有 query 的权限
Shiro 的 Permissions
• 实例 级访问控制
– 这种情况通常会使用三个部件： 域、操作、被付诸实
施的实例。如：user:edit:manager
– 也 可以使用通配符来定义，如：user:edit:、user::、
user::manager
– 部分 省略 通配符：缺少的部件意味着用户可以访问所
有与之匹配的值，比如：user:edit 等价于 user:edit :、
user 等价于 user:?
– 注意： 通配符只能 从字符串的结尾处省略部件，也就
是说 user:edit 并不等价于 user:*:edit
授权流程
流程如下：
• 1、首先调用 Subject.isPermitted*/hasRole* 接口，其会委托给
SecurityManager，而 SecurityManager 接着会委托给 Authorizer；
• 2、Authorizer是真正的授权者，如果调用如
isPermitted(“user:view”)，其首先会通过
• PermissionResolver 把字符串转换成相应的 Permission 实例；
• 3、在进行授权之前，其会调用相应的 Realm 获取 Subject 相应的角
色/权限用于匹配传入的角色/权限；
• 4、Authorizer 会判断 Realm 的角色/权限是否和传入的匹配，如果
有多个Realm，会委托给 ModularRealmAuthorizer 进行循环判断，
如果匹配如 isPermitted*/hasRole* 会返回true，否则返回false表示
授权失败。
ModularRealmAuthorizer
• ModularRealmAuthorizer 进行多 Realm 匹配流程：
– 1、首先检查相应的 Realm 是否实现了实现了Authorizer；
– 2、如果实现了 Authorizer，那么接着调用其相应的
isPermitted*/hasRole* 接口进行匹配；
– 3、如果有一个Realm匹配那么将返回 true，否则返回 false。
Shiro 标签
• Shiro 提供了 JSTL 标签用于在 JSP 页面进行权限控制，如
根据登录用户显示相应的页面按钮。
• guest 标签：用户没有身份验证时显示相应信息，即游客
访问信息：
• user 标签：用户已经经过认证/记住我登录后显示相应的信
息。
• authenticated 标签：用户已经身份验证通过，即
Subject.login登录成功，不是记住我登录的
• notAuthenticated 标签：用户未进行身份验证，即没有调
用Subject.login进行登录，包括记住我自动登录的也属于
未进行身份验证。
• pincipal 标签：显示用户身份信息，默认调用
Subject.getPrincipal() 获取，即 Primary Principal。
• hasRole 标签：如果当前 Subject 有角色将显示 body 体内
容：
• hasAnyRoles 标签：如果当前Subject有任意一个
角色（或的关系）将显示body体内容。
• lacksRole：如果当前 Subject 没有角色将显
示 body 体内容
• hasPermission：如果当前 Subject 有权限
将显示 body 体内容
• lacksPermission：如果当前Subject没有权
限将显示body体内容
权限注解
• @RequiresAuthentication：表示当前Subject已经通过login
进行了身份验证；即 Subject. isAuthenticated() 返回 true
• @RequiresUser：表示当前 Subject 已经身份验证或者通过记
住我登录的。
• @RequiresGuest：表示当前Subject没有身份验证或通过记住
我登录过，即是游客身份。
• @RequiresRoles(value={“admin”, “user”}, logical=
Logical.AND)：表示当前 Subject 需要角色 admin 和user
• @RequiresPermissions (value={“user:a”, “user:b”},
logical= Logical.OR)：表示当前 Subject 需要权限 user:a 或
user:b。
真实中进行授权
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"/>
<property name="loginUrl" value="/login.jsp"/>
<property name="successUrl" value="/list.jsp"/>
<property name="unauthorizedUrl" value="/unauthorized.jsp"/>
<property name="filterChainDefinitionMap" ref="filterChainDefinitionMap"></property>
<!--配置哪些页面需要受保护.-->
<!--以及访问这些页面需要的权限.-->
<!--1). anon 可以被匿名访问-->
<!--2). authc 必须认证(即登录)后才可能访问的页面.-->
<!--<!-3). logout 登出.–>-->
<!--4). roles 角色过滤器-->
不要配置:
<!--<property name="filterChainDefinitions">-->
<!--<value>-->
<!--/login.jsp = anon-->
<!--/user/login = anon-->
<!--/user/logout = logout-->
<!--/user.jsp = roles[user]-->
<!--/admin.jsp =roles[admin]-->
<!--# everything else requires authentication:-->
<!--/** = authc-->
<!--</value>-->
<!--</property>-->
</bean>
<!-- 配置一个 bean, 该 bean 实际上是一个 Map. 通过实例工厂方法的方式 -->
<bean id="filterChainDefinitionMap"
factory-bean="filterChainDefinitionMapBuilder" factory-method="buiStringStringLinkedHashMap"></bean>
<bean id="filterChainDefinitionMapBuilder"
class="com.lx.utils.FilterChainDefinitionMapBuilder"></bean>
FilterChainDefinitionMapBuilder.java
package com.lx.utils;
import java.util.LinkedHashMap;
import java.util.LinkedList;
public class FilterChainDefinitionMapBuilder {
public LinkedHashMap<String,String> buiStringStringLinkedHashMap(){
LinkedHashMap<String,String> linkedHashMap=new LinkedHashMap<String,String>();
linkedHashMap.put("/login.jsp","anon");
linkedHashMap.put("/user/login","anon");
linkedHashMap.put("/user.jsp","roles[user]");
linkedHashMap.put("/admin.jsp","roles[admin]");
linkedHashMap.put("/**","authc");
return linkedHashMap;
}
}
会话
概述
• Shiro 提供了完整的企业级会话管理功能，不依赖于底层容
器（如web容器tomcat），不管 JavaSE 还是 JavaEE 环境
都可以使用，提供了会话管理、会话事件监听、会话存储/
持久化、容器无关的集群、失效/过期支持、对Web 的透明
支持、SSO 单点登录的支持等特性
会话相关的 API
• Subject.getSession()：即可获取会话；其等价于
Subject.getSession(true)，即如果当前没有创建 Session 对象会创建
一个；Subject.getSession(false)，如果当前没有创建 Session 则返回
null
• session.getId()：获取当前会话的唯一标识
• session.getHost()：获取当前Subject的主机地址
• session.getTimeout() & session.setTimeout(毫秒)：获取/设置当
前Session的过期时间
• session.getStartTimestamp() & session.getLastAccessTime()：
获取会话的启动时间及最后访问时间；如果是 JavaSE 应用需要自己定
期调用 session.touch() 去更新最后访问时间；如果是 Web 应用，每
次进入 ShiroFilter 都会自动调用 session.touch() 来更新最后访问时间
• session.touch() & session.stop()：更新会话最后访问时
间及销毁会话；当Subject.logout()时会自动调用 stop 方法
来销毁会话。如果在web中，调用 HttpSession. invalidate()
也会自动调用Shiro Session.stop 方法进行销毁Shiro 的会
话
• session.setAttribute(key, val) &
session.getAttribute(key) &
session.removeAttribute(key)：设置/获取/删除会话属
性；在整个会话范围内都可以对这些属性进行操作
• 会话监听器用于监听会话创建、过期及停止事件
缓存
CacheManagerAware 接口
• Shiro 内部相应的组件（DefaultSecurityManager）会自
动检测相应的对象（如Realm）是否实现了
CacheManagerAware 并自动注入相应的
CacheManager。
• Shiro 提供了 CachingRealm，其实现了
CacheManagerAware 接口，提供了缓存的一些基础实现；
• AuthenticatingRealm 及 AuthorizingRealm 也分别提
供了对AuthenticationInfo 和 AuthorizationInfo 信息的缓
存。
清除缓存
// 清除缓存
public void clearCached() {
PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals();
super.clearCache(principals);
}
Session缓存
• 如 SecurityManager 实现了 SessionSecurityManager，
其会判断 SessionManager 是否实现了
CacheManagerAware 接口，如果实现了会把
CacheManager 设置给它。
• SessionManager 也会判断相应的 SessionDAO（如继承
自CachingSessionDAO）是否实现了
CacheManagerAware，如果实现了会把 CacheManager
设置给它
• 设置了缓存的 SessionManager，查询时会先查缓存，如
果找不到才查数据库。
5.集成SSM架构
0.0MAVEN依赖
<properties>
<junit.version>4.12</junit.version>
<spring.version>4.3.8.RELEASE</spring.version>
<mybatis.version>3.4.5</mybatis.version>
<mybatis.spring.version>1.3.0</mybatis.spring.version>
<mapper.version>2.3.4</mapper.version>
<mysql.version>5.1.38</mysql.version>
<slf4j.version>1.6.4</slf4j.version>
<jackson.version>2.9.7</jackson.version>
<c3p0.version>0.9.5-pre10</c3p0.version>
<jstl.version>1.2</jstl.version>
<servlet-api.version>3.1.0</servlet-api.version>
<jsp-api.version>2.2.1</jsp-api.version>
<commons-lang3.version>3.3.2</commons-lang3.version>
<commons-io.version>1.3.2</commons-io.version>
</properties>
<dependencies>
<!-- 单元测试 -->
<dependency>
<groupId>junit</groupId>
<artifactId>junit</artifactId>
<version>${junit.version}</version>
<scope>test</scope>
</dependency>
<!-- Spring -->
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-context</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-beans</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-webmvc</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-jdbc</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-aspects</artifactId>
<version>${spring.version}</version>
</dependency>
<!-- Mybatis -->
<dependency>
<groupId>org.mybatis</groupId>
<artifactId>mybatis</artifactId>
<version>${mybatis.version}</version>
</dependency>
<dependency>
<groupId>org.mybatis</groupId>
<artifactId>mybatis-spring</artifactId>
<version>${mybatis.spring.version}</version>
</dependency>
<!-- 通用Mapper -->
<dependency>
<groupId>com.github.abel533</groupId>
<artifactId>mapper</artifactId>
<version>${mapper.version}</version>
</dependency>
<!-- MySql -->
<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
<version>${mysql.version}</version>
</dependency>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-log4j12</artifactId>
<version>${slf4j.version}</version>
</dependency>
<!-- Jackson Json处理工具包 -->
<dependency>
<groupId>com.fasterxml.jackson.core</groupId>
<artifactId>jackson-databind</artifactId>
<version>${jackson.version}</version>
</dependency>
<!-- c3p0数据源 -->
<dependency>
<groupId>com.mchange</groupId>
<artifactId>c3p0</artifactId>
<version>${c3p0.version}</version>
</dependency>
<!-- JSP相关 -->
<dependency>
<groupId>jstl</groupId>
<artifactId>jstl</artifactId>
<version>${jstl.version}</version>
</dependency>
<dependency>
<groupId>javax.servlet</groupId>
<artifactId>javax.servlet-api</artifactId>
<version>${servlet-api.version}</version>
<scope>provided</scope>
</dependency>
<dependency>
<groupId>javax.servlet.jsp</groupId>
<artifactId>javax.servlet.jsp-api</artifactId>
<version>${jsp-api.version}</version>
<scope>provided</scope>
</dependency>
<!-- Shrio框架依赖 -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-ehcache</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>commons-logging</groupId>
<artifactId>commons-logging</artifactId>
<version>1.1.3</version>
</dependency>
<!-- Shrio框架依赖 -->
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-log4j12</artifactId>
<version>1.7.12</version>
</dependency>
</dependencies>
1.配置SSM
配置applicationContext.xml
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:context="http://www.springframework.org/schema/context" xmlns:p="http://www.springframework.org/schema/p"
xmlns:aop="http://www.springframework.org/schema/aop" xmlns:tx="http://www.springframework.org/schema/tx"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-4.0.xsd
http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context-4.0.xsd
http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop-4.0.xsd http://www.springframework.org/schema/tx http://www.springframework.org/schema/tx/spring-tx-4.0.xsd
http://www.springframework.org/schema/util http://www.springframework.org/schema/util/spring-util-4.0.xsd">
<!--使用spring自带的占位符替换功能 -->
<bean
class="org.springframework.beans.factory.config.PropertyPlaceholderConfigurer">
<!-- 忽略没有找到的资源文件 -->
<property name="ignoreResourceNotFound" value="true" />
<!-- 配置资源文件 -->
<property name="locations">
<list>
<value>classpath:db.properties</value>
</list>
</property>
</bean>
<!--1.扫描包 -->
<context:component-scan base-package="com.lx" />
<!--2. 配置数据源 c3p0 -->
<bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource"
destroy-method="close">
<property name="driverClass" value="${jdbc.driverClassName}" />
<property name="jdbcUrl" value="${jdbc.url}" />
<property name="user" value="${jdbc.username}" />
<property name="password" value="${jdbc.password}" />
<!-- 请求超时时间 -->
<property name="checkoutTimeout" value="30000" />
<!-- 每60秒检查所有连接池中的空闲连接。默认值: 0，不检查 -->
<property name="idleConnectionTestPeriod" value="30" />
<!-- 连接数据库连接池最大空闲时间 -->
<property name="maxIdleTime" value="30" />
<!-- 连接池初始化连接数 -->
<property name="initialPoolSize" value="5" />
<property name="minPoolSize" value="5" />
<property name="maxPoolSize" value="20" />
<!--当连接池中的连接耗尽的时候c3p0一次同时获取的连接数。默认值: 3 -->
<property name="acquireIncrement" value="5" />
</bean>
<!--3.定义SqlSessionFactory -->
<bean class="org.mybatis.spring.SqlSessionFactoryBean">
<property name="configLocation" value="classpath:mybatis-config.xml" />
<property name="dataSource" ref="dataSource" />
<!-- 自动扫描mapping.xml文件 -->
<property name="mapperLocations" value="classpath:mappers/*.xml"></property>
<property name="typeAliasesPackage" value="com.lx.bean" />
</bean>
<!--4.定义Mapper接口的扫描器 -->
<bean class="org.mybatis.spring.mapper.MapperScannerConfigurer">
<property name="basePackage" value="com.lx.mapper" />
</bean>
<!--5.定义事务管理器 -->
<bean id="transactionManager"
class="org.springframework.jdbc.datasource.DataSourceTransactionManager">
<property name="dataSource" ref="dataSource" />
</bean>
<!-- 6.开启事务注解支持 -->
<tx:annotation-driven transaction-manager="transactionManager" />
</beans>
2.配置SpringMVC.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:context="http://www.springframework.org/schema/context"
xmlns:p="http://www.springframework.org/schema/p" xmlns:mvc="http://www.springframework.org/schema/mvc"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans.xsd
http://www.springframework.org/schema/context
http://www.springframework.org/schema/context/spring-context.xsd
http://www.springframework.org/schema/mvc
http://www.springframework.org/schema/mvc/spring-mvc.xsd">
<!-- 扫表包:控制层包 -->
<context:component-scan base-package="com.lx.controller" />
<!-- 视图解析器 -->
<bean
class="org.springframework.web.servlet.view.InternalResourceViewResolver">
<!-- jsp所在的位置 -->
<property name="prefix" value="/" />
<!-- 文件后缀 -->
<property name="suffix" value=".jsp"></property>
</bean>
<!-- 全部资源放行 -->
<mvc:annotation-driven/>
<!-- 对指定目录下的静态资源放行 -->
<mvc:resources location="statics/images/" mapping="/images/**"/>
<mvc:resources location="statics/css/" mapping="/css/**"/>
<mvc:resources location="statics/js/" mapping="/js/**"/>
<mvc:default-servlet-handler/>
</beans>
3.mybatis-config.xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE configuration
PUBLIC "-//mybatis.org//DTD Config 3.0//EN"
"http://mybatis.org/dtd/mybatis-3-config.dtd">
<configuration>
</configuration>
4.db.properties
jdbc.driverClassName=com.mysql.jdbc.Driver
jdbc.url=jdbc:mysql://127.0.0.1:3306/ssm?useUnicode=true&characterEncoding=utf8
jdbc.username=root
jdbc.password=root
5.log4j.properties
log4j.rootLogger=INFO,Console,File
#定义日志输出目的地为控制台
log4j.appender.Console=org.apache.log4j.ConsoleAppender
log4j.appender.Console.Target=System.out
#可以灵活地指定日志输出格式，下面一行是指定具体的格式
log4j.appender.Console.layout = org.apache.log4j.PatternLayout
log4j.appender.Console.layout.ConversionPattern=[%c] - %m%n
#文件大小到达指定尺寸的时候产生一个新的文件
log4j.appender.File = org.apache.log4j.RollingFileAppender
#指定输出目录
log4j.appender.File.File = logs/ssm.log
#定义文件最大大小
log4j.appender.File.MaxFileSize = 10MB
# 输出所以日志，如果换成DEBUG表示输出DEBUG以上级别日志
log4j.appender.File.Threshold = ALL
log4j.appender.File.layout = org.apache.log4j.PatternLayout
log4j.appender.File.layout.ConversionPattern =[%p] [%d{yyyy-MM-dd HH\:mm\:ss}][%c]%m%n
6.userMapper.xml
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.wb.mapper.LoginlogMapper">
<!-- 通用查询映射结果 -->
<resultMap id="BaseResultMap" type="com.wb.bean.Loginlog">
<id column="id" property="id" />
<result column="ip" property="ip" />
<result column="no" property="no" />
<result column="createtime" property="createtime" />
<result column="location" property="location" />
</resultMap>
<!-- 通用查询结果列 -->
<sql id="Base_Column_List">
id, ip, no, createtime, location
</sql>
</mapper>
7.配web.xml
<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns="http://java.sun.com/xml/ns/javaee"
xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
id="WebApp_ID" version="2.5">
<!--spring的配置-->
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>classpath:applicationContext*.xml</param-value>
</context-param>
<!-- 添加Spring的上下文环境监听 -->
<listener>
<listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>
<!-- 配置SpringMvc核心的控制器 DispatcherServlet -->
<servlet>
<servlet-name>DispatcherServlet</servlet-name>
<servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
<!-- 配置DispatcherServlet的初始化參數：设置文件的路径和文件名称 -->
<init-param>
<param-name>contextConfigLocation</param-name>
<param-value>classpath:spring-mvc.xml</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>
<servlet-mapping>
<servlet-name>DispatcherServlet</servlet-name>
<!--不能写/*，必须写/，这是REST URL风格的要求，REST风格会在后面介绍 -->
<url-pattern>/</url-pattern>
</servlet-mapping>
<!-- 解决工程编码过滤器 -->
<filter>
<filter-name>characterEncodingFilter</filter-name>
<filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
<init-param>
<param-name>encoding</param-name>
<param-value>UTF-8</param-value>
</init-param>
<init-param>
<param-name>forceEncoding</param-name>
<param-value>true</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>characterEncodingFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
</web-app>
8.集成shiro
1.引入maven依赖
<!-- Shrio框架依赖 -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-ehcache</artifactId>
<version>1.2.3</version>
</dependency>
<dependency>
<groupId>commons-logging</groupId>
<artifactId>commons-logging</artifactId>
<version>1.1.3</version>
</dependency>
<!-- Shrio框架依赖 -->
</dependencies>
2.在web.xml中配置shiroFilter
<!--
1. 配置 Shiro 的 shiroFilter.
2. DelegatingFilterProxy 实际上是 Filter 的一个代理对象. 默认情况下, Spring 会到 IOC 容器中查找和
<filter-name> 对应的 filter bean. 也可以通过 targetBeanName 的初始化参数来配置 filter bean 的 id.
-->
<filter>
<filter-name>shiroFilter</filter-name>
<!-- shiro过虑器，DelegatingFilterProxy通过代理模式将spring容器中的bean和filter关联起来 -->
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
<!-- 设置true由servlet容器控制filter的生命周期 -->
<init-param>
<param-name>targetFilterLifecycle</param-name>
<param-value>true</param-value>
</init-param>
<!-- 设置spring容器filter的bean id，如果不设置则找与filter-name一致的bean -->
<init-param>
<param-name>targetBeanName</param-name>
<param-value>shiroFilter</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>shiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
3.配置applicationContext-shiro.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
<!--
1. 配置 SecurityManager!
-->
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="cacheManager" ref="cacheManager"/>
<property name="sessionMode" value="native"/>
<property name="realm" ref="jdbcRealm"/>
</bean>
<!--
2. 配置 CacheManager.
2.1 需要加入 ehcache 的 jar 包及配置文件.
-->
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
<!--<property name="cacheManager" ref="ehCacheManager"/> -->
<property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>
</bean>
<bean id="authenticator"
class="org.apache.shiro.authc.pam.ModularRealmAuthenticator">
<property name="authenticationStrategy">
<bean class="org.apache.shiro.authc.pam.AtLeastOneSuccessfulStrategy"></bean>
</property>
</bean>
<!--
3. 配置 Realm
3.1 直接配置实现了 org.apache.shiro.realm.Realm 接口的 bean
-->
<bean id="jdbcRealm" class="com.lx.shiro.realms.ShiroRealm"></bean>
<!--
4. 配置 LifecycleBeanPostProcessor. 可以自定的来调用配置在 Spring IOC 容器中 shiro bean 的生命周期方法.
-->
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
<!-- Enable Shiro Annotations for Spring-configured beans. Only run after
the lifecycleBeanProcessor has run: -->
<!--
5. 启用 IOC 容器中使用 shiro 的注解. 但必须在配置了 LifecycleBeanPostProcessor 之后才可以使用.
-->
<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
depends-on="lifecycleBeanPostProcessor"/>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager"/>
</bean>
<!--
6. 配置 ShiroFilter.
6.1 id 必须和 web.xml 文件中配置的 DelegatingFilterProxy 的 <filter-name> 一致.
若不一致, 则会抛出: NoSuchBeanDefinitionException. 因为 Shiro 会来 IOC 容器中查找和 <filter-name> 名字对应的 filter bean.
-->
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"/>
<property name="loginUrl" value="/login.jsp"/>
<property name="successUrl" value="/list.jsp"/>
<property name="unauthorizedUrl" value="/unauthorized.jsp"/>
<!--<property name="filterChainDefinitionMap" ref="filterChainDefinitionMap"></property>-->
<!--配置哪些页面需要受保护.-->
<!--以及访问这些页面需要的权限.-->
<!--1). anon 可以被匿名访问-->
<!--2). authc 必须认证(即登录)后才可能访问的页面.-->
<!--<!-3). logout 登出.–>-->
<!--4). roles 角色过滤器-->
<property name="filterChainDefinitions">
<value>
/login.jsp = anon
/shiro/login = anon
/shiro/logout = logout
/user.jsp = roles[user]
/admin.jsp = roles[admin]
# everything else requires authentication:
/** = authc
</value>
</property>
</bean>
</beans>
<!-- 5.会话管理器 -->
<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
<!-- session的失效时长，单位毫秒 1000ms=1m-->
<property name="globalSessionTimeout" value="10000" />
<!-- 删除失效的session -->
<property name="deleteInvalidSessions" value="true" />
</bean>
自定义Realm
package com.lx.shiro.realms;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
/**
* @author luxin
* @create 2019-05-29 17:09
*/
public class ShiroRealm extends AuthorizingRealm {
@Override
public String getName() {
return super.getName();
}
//认证(登录)
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
return null;
}
//授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
return null;
}
// 清除缓存
public void clearCached() {
PrincipalCollection principals = SecurityUtils.getSubject().getPrincipals();
super.clearCache(principals);
}
}
4万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
