整合Shiro:
spring-boot 与 shiro整合的pom.xml文件(一般都和数据库联用)
<!-- shiro整合spring的包-->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring-boot-web-starter</artifactId>
<version>1.7.1</version>
</dependency>
<!-- mybatis-->
<dependency>
<groupId>org.mybatis.spring.boot</groupId>
<artifactId>mybatis-spring-boot-starter</artifactId>
<version>2.1.4</version>
</dependency>
<!-- jdbc-->
<dependency>
<groupId>org.projectlombok</groupId>
<artifactId>lombok</artifactId>
</dependency>
<!-- JDBC驱动-->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-jdbc</artifactId>
</dependency>
<!-- 连接myal驱动-->
<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
<version>5.1.47</version>
</dependency>
<!-- druid数据源-->
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>druid</artifactId>
<version>1.2.4</version>
</dependency>
<!-- 导入log4j-->
<dependency>
<groupId>log4j</groupId>
<artifactId>log4j</artifactId>
<version>1.2.17</version>
</dependency>
具体思想要查看这个图
Shiro的核心三个对象:
在这里插入图片描述
可以看到:应用代码直接交互的对象是 Subject,也就是说 Shiro 的对外 API 核心就是 Subject;其每个 API 的含义:
Subject:主体,代表了当前 “用户”,这个用户不一定是一个具体的人,与当前应用交互的任何东西都是 Subject,如网络爬虫,机器人等;即一个抽象概念;所有 Subject 都绑定到 SecurityManager,与 Subject 的所有交互都会委托给 SecurityManager;可以把 Subject 认为是一个门面;SecurityManager 才是实际的执行者;
SecurityManager:安全管理器;即所有与安全有关的操作都会与 SecurityManager 交互;且它管理着所有 Subject;可以看出它是 Shiro 的核心,它负责与后边介绍的其他组件进行交互,如果学习过 SpringMVC,你可以把它看成 DispatcherServlet 前端控制器;
Realm:域,Shiro 从从 Realm 获取安全数据(如用户、角色、权限),就是说 SecurityManager 要验证用户身份,那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法;也需要从 Realm 得到用户相应的角色 / 权限进行验证用户是否能进行操作;可以把 Realm 看成 DataSource,即安全数据源。
数据表(拥有perms权限字段):
注意:shiro中的配置类和Realm的实体类都是缺一不可的,一个是配置,注入到IOC容器中,另一个是处理和授权
和之前自定义的WebConfig一样,创建要给ShiroConfig的配置类
import at.pollux.thymeleaf.shiro.dialect.ShiroDialect;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.util.LinkedHashMap;
import java.util.Map;
@Configuration
public class ShiroConfig {
@Bean
//ShiroFilterFactoryBean:3
public ShiroFilterFactoryBean shiroFilterFactoryBean(@Qualifier("getDefaultWebSecurityManager") DefaultWebSecurityManager securityManager){
ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
//设置安全管理器
shiroFilterFactoryBean.setSecurityManager(securityManager);
//添加shiro的内置过滤器
/*
anon : 无需认证就可以访问
authc: 必须认证了才能访问
user: 必须拥有记住我 功能才能访问
perms: 拥有对某个资源的权限才能访问
role: 拥有某个角色权限才能访问
*/
Map<String, String> filterMap = new LinkedHashMap<>();
//进行权限的操作,正常情况下,没有授权会跳转到未授权的界面
//perms[user:add] : 必须是user用户并且有add权限才能执行这个/user/add操作
//perms[user:update]: 必须是user用户并且有update权限才能执行/user/update操作
filterMap.put("/user/add","perms[user:add]");
filterMap.put("/user/update","perms[user:update]");
//进行拦截的操作
//存放的为: 请求 + 认证
// filterMap.put("/user/add","authc");
// filterMap.put("/user/update","authc");
filterMap.put("/user/*","authc");
shiroFilterFactoryBean.setFilterChainDefinitionMap(filterMap);
//设置登录的请求
shiroFilterFactoryBean.setLoginUrl("/toLogin");
//设置未授权的页面
shiroFilterFactoryBean.setUnauthorizedUrl("/noAuthorized");
return shiroFilterFactoryBean;
}
//DefaultWebSecurityManager:2
@Bean
public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
//需要关联Realm
securityManager.setRealm(userRealm);
return securityManager;
}
// 创建 realm对象,需要自定义:1
@Bean //这个userRealm,放入到IOC容器当中,方法名就是bean的名字
public UserRealm userRealm(){
return new UserRealm();
}
//整合ShiroDialect: 用来整合 shiro 与 thymeleaf
@Bean
public ShiroDialect getShiroDialect(){
return new ShiroDialect();
}
同时对于角色的授权和认证操作,都是Realm的实体类中(配合数据库进行操作):
//自定义的userRealm extends AuthorizingRealm
public class UserRealm extends AuthorizingRealm {
@Autowired
private UserService userService;
//授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
System.out.println("执行了=>授权doGetAuthorizationInfo");
//授权 :SimpleAuthorizationInfo
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
//info.addStringPermission("user:add");
//拿到当前登录的这个对象
Subject subject = SecurityUtils.getSubject();
//拿到User对象
User currentUser = (User)subject.getPrincipal();
//设置当前的用户
info.addStringPermission(currentUser.getPerms());
return info;
}
//认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
System.out.println("执行了=>认证doGetAuthenticationInfo");
//用户名,密码 --- 没有,从数据库中取得
// String name = "root";
// String password = "123456";
//这个token是全局存在的,只要存储下来了,就能够获得
UsernamePasswordToken userToken = (UsernamePasswordToken) token;
//从数据库中获得数据
//连接真实数据库
User user = userService.queryUserByName(userToken.getUsername());
//如果用户不存在
if(user == null){
return null; //自动抛出异常 UnknownAccountException
}
//可以加密 : MD5盐值加密
//密码认证,shiro自动帮我们做, 加密了
return new SimpleAuthenticationInfo(user,user.getPwd(),"");
}
}