Springboot整合shiro(简单入门)

整合Shiro：

spring-boot 与 shiro整合的pom.xml文件(一般都和数据库联用)

		
        <!-- shiro整合spring的包-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring-boot-web-starter</artifactId>
            <version>1.7.1</version>
        </dependency>
		<!-- mybatis-->
        <dependency>
            <groupId>org.mybatis.spring.boot</groupId>
            <artifactId>mybatis-spring-boot-starter</artifactId>
            <version>2.1.4</version>
        </dependency>
        <!-- jdbc-->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>
        <!-- JDBC驱动-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-jdbc</artifactId>
        </dependency>

        <!-- 连接myal驱动-->
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <version>5.1.47</version>
        </dependency>

        <!-- druid数据源-->
        <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>druid</artifactId>
            <version>1.2.4</version>
        </dependency>

        <!-- 导入log4j-->

        <dependency>
            <groupId>log4j</groupId>
            <artifactId>log4j</artifactId>
            <version>1.2.17</version>
        </dependency>

具体思想要查看这个图
Shiro的核心三个对象:
在这里插入图片描述

可以看到：应用代码直接交互的对象是 Subject，也就是说 Shiro 的对外 API 核心就是 Subject；其每个 API 的含义：

Subject：主体，代表了当前 “用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫，机器人等；即一个抽象概念；所有 Subject 都绑定到 SecurityManager，与 Subject 的所有交互都会委托给 SecurityManager；可以把 Subject 认为是一个门面；SecurityManager 才是实际的执行者；

SecurityManager：安全管理器；即所有与安全有关的操作都会与 SecurityManager 交互；且它管理着所有 Subject；可以看出它是 Shiro 的核心，它负责与后边介绍的其他组件进行交互，如果学习过 SpringMVC，你可以把它看成 DispatcherServlet 前端控制器；

Realm：域，Shiro 从从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法；也需要从 Realm 得到用户相应的角色 / 权限进行验证用户是否能进行操作；可以把 Realm 看成 DataSource，即安全数据源。

数据表(拥有perms权限字段):

注意:shiro中的配置类和Realm的实体类都是缺一不可的，一个是配置，注入到IOC容器中，另一个是处理和授权
和之前自定义的WebConfig一样，创建要给ShiroConfig的配置类

import at.pollux.thymeleaf.shiro.dialect.ShiroDialect;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.LinkedHashMap;
import java.util.Map;

@Configuration
public class ShiroConfig {

    @Bean
    //ShiroFilterFactoryBean:3
    public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("getDefaultWebSecurityManager") DefaultWebSecurityManager securityManager){
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        //设置安全管理器
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        //添加shiro的内置过滤器
        /*
            anon : 无需认证就可以访问
            authc: 必须认证了才能访问
            user: 必须拥有记住我 功能才能访问
            perms: 拥有对某个资源的权限才能访问
            role: 拥有某个角色权限才能访问
         */

        Map<String, String> filterMap = new LinkedHashMap<>();

        //进行权限的操作,正常情况下，没有授权会跳转到未授权的界面
        //perms[user:add] : 必须是user用户并且有add权限才能执行这个/user/add操作
        //perms[user:update]: 必须是user用户并且有update权限才能执行/user/update操作
        filterMap.put("/user/add","perms[user:add]");
        filterMap.put("/user/update","perms[user:update]");

        //进行拦截的操作
        //存放的为: 请求 + 认证
//        filterMap.put("/user/add","authc");
//        filterMap.put("/user/update","authc");
        filterMap.put("/user/*","authc");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterMap);
        //设置登录的请求
        shiroFilterFactoryBean.setLoginUrl("/toLogin");
        //设置未授权的页面
        shiroFilterFactoryBean.setUnauthorizedUrl("/noAuthorized");


        return shiroFilterFactoryBean;
    }

    //DefaultWebSecurityManager:2
    @Bean
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //需要关联Realm
        securityManager.setRealm(userRealm);
        return securityManager;
    }


    // 创建 realm对象，需要自定义:1

    @Bean  //这个userRealm，放入到IOC容器当中,方法名就是bean的名字
    public UserRealm userRealm(){
        return new UserRealm();
    }


    //整合ShiroDialect: 用来整合 shiro 与 thymeleaf
    @Bean
    public ShiroDialect getShiroDialect(){
        return new ShiroDialect();
    }

同时对于角色的授权和认证操作，都是Realm的实体类中(配合数据库进行操作):

//自定义的userRealm extends AuthorizingRealm
public class UserRealm extends AuthorizingRealm {

    @Autowired
    private UserService userService;

    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("执行了=>授权doGetAuthorizationInfo");
        //授权 :SimpleAuthorizationInfo
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();

        //info.addStringPermission("user:add");

        //拿到当前登录的这个对象
        Subject subject = SecurityUtils.getSubject();

        //拿到User对象
        User currentUser = (User)subject.getPrincipal();

        //设置当前的用户
        info.addStringPermission(currentUser.getPerms());


        return info;
    }

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("执行了=>认证doGetAuthenticationInfo");

        //用户名，密码 --- 没有，从数据库中取得
//        String name = "root";
//        String password = "123456";



        //这个token是全局存在的，只要存储下来了，就能够获得
        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        //从数据库中获得数据
        //连接真实数据库
        User user = userService.queryUserByName(userToken.getUsername());
        //如果用户不存在
        if(user == null){
            return null; //自动抛出异常 UnknownAccountException
        }

        //可以加密 ： MD5盐值加密
        //密码认证,shiro自动帮我们做, 加密了
        return new SimpleAuthenticationInfo(user,user.getPwd(),"");
    }
}