Shiro
1 初级介绍
1 shiro有什么特点?
- Apache Shiro 是 Java 的一个安全(权限)框架。
- Shiro 可以非常容易的开发出足够好的应用,其不仅可以用在JavaSE 环境,也可以用在 JavaEE 环境。
- Shiro 可以完成:认证、授权、加密、会话管理、与Web 集成、缓存
等。
2 功能简介
- Authentication:身份认证/登录,验证用户是不是拥有相应的身份;
- Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用
户是否能进行什么操作,如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户
对某个资源是否具有某个权限; - Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有
信息都在会话中;会话可以是普通 JavaSE 环境,也可以是 Web 环境的; - Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
- Web Support:Web 支持,可以非常容易的集成到Web 环境;
- Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可
以提高效率; - Concurrency:Shiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能
- 把权限自动传播过去;
- Testing:提供测试支持;
- Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
- Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登
录了。
3 简单架构
1)从应用程序的角度来观察shiro来如何进行工作。
- Subject:应用代码直接交互的对象是 Subject,也就是说 Shiro 的对外API 核心就是Subject。Subject 代表了当前“用户”, 这个用户不一定是一个具体的人,与当前应用交互的任何东西都是 Subject,如网络爬虫,机器人等;与 Subject 的所有交互都会委托给SecurityManager;Subject 其实是一个门面,SecurityManager 才是实际的执行者;
- SecurityManager:安全管理器;即所有与安全有关的操作都会与SecurityManager 交互;且其管理着所有 Subject;可以看出它是 Shiro的核心,它负责与 Shiro 的其他组件进行交互,它相当于 SpringMVC 中DispatcherServlet 的角色
- Realm:Shiro 从 Realm 获取安全数据(如用户、角色、权限),就是说SecurityManager 要验证用户身份,那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法;也需要从 Realm 得到用户相应的角色/权限进行验证用户是否能进行操作;可以把 Realm 看成 DataSource。
2)
- Subject:任何可以与应用交互的“用户”;
- SecurityManager :相当于SpringMVC 中的 DispatcherServlet;是 Shiro 的心脏;所有具体的交互都通过 SecurityManager 进行控制;它管理着所有 Subject、且负责进行认证、授权、会话及缓存的管理。
- Authenticator:负责 Subject 认证,是一个扩展点,可以自定义实现;可以使用认证策略(Authentication Strategy),即什么情况下算用户认证通过了;
- Authorizer:授权器、即访问控制器,用来决定主体是否有权限进行相应的操作;即控
制着用户能访问应用中的哪些功能; - Realm:可以有 1 个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的;可以是JDBC 实现,也可以是内存实现等等;由用户提供;所以一般在应用中都需要实现自己的 Realm;
- SessionManager:管理 Session 生命周期的组件;而 Shiro 并不仅仅可以用在 Web环境,也可以用在如普通的 JavaSE 环境
- CacheManager:缓存控制器,来管理如用户、角色、权限等的缓存的;因为这些数据基本上很少改变,放到缓存中后可以提高访问的性能
- Cryptography:密码模块,Shiro 提高了一些常见的加密组件用于如密码加密/解密。
2 初步体验
2.1 QuickStart
二:shiro 概念
概念参考:https://www.w3cschool.cn/shiro/xgj31if4.html
表参考:https://blog.csdn.net/java_____xiaobai/article/details/85012761
代码参考:https://www.jianshu.com/p/7f724bec3dc3
shiro:权限管理框架
根据用户的角色来判断其对某个资源是有什么执行权限
常见的权限框架:shiro+spring security
权限相关的表:五张表
用户表:user: uid uname uwpd
用户-角色表: user_role: uid rid
角色表:权限的集合:role :rid rname rdescribute
角色-权限表:role_authorty:rid aid
权限表:对相关资源的操作:authority :aid aname adescribute
1 核心功能
Authentication:身份认证 / 登录,验证用户是不是拥有相应的身份;
Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限;
Session Management:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通 JavaSE 环境的,也可以是如 Web 环境的;
Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
Web Support:Web 支持,可以非常容易的集成到 Web 环境;
Caching:缓存,比如用户登录后,其用户信息、拥有的角色 / 权限不必每次去查,这样可以提高效率;
Concurrency:shiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去;
Testing:提供测试支持;
Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了。
2 相关组件
Subject:主体,代表了当前 “用户”,这个用户不一定是一个具体的人,与当前应用交互的任何东西都是 Subject,如网络爬虫,机器人等;即一个抽象概念;所有 Subject 都绑定到 SecurityManager,与 Subject 的所有交互都会委托给 SecurityManager;可以把 Subject 认为是一个门面;SecurityManager 才是实际的执行者;
SecurityManager:安全管理器;即所有与安全有关的操作都会与 SecurityManager 交互;且它管理着所有 Subject;可以看出它是 Shiro 的核心,它负责与后边介绍的其他组件进行交互,如果学习过 SpringMVC,你可以把它看成 DispatcherServlet 前端控制器;
Realm:域,Shiro 从从 Realm 获取安全数据(如用户、角色、权限),就是说 SecurityManager 要验证用户身份,那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法;也需要从 Realm 得到用户相应的角色 / 权限进行验证用户是否能进行操作;可以把 Realm 看成 DataSource,即安全数据源。
3 springboot整合shiro
a 创建一个springboot项目 只需要添加web 不用数据库
b 在poom.xml中添加shiro的依赖
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.5.3</version>
</dependency>
c 分包
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-vJN7kMvW-1604476486296)(C:\Users\龍\Desktop\imgs\1603421730267.png)]
d 创建实体类
package com.zhiyou100.entity;
public class Permissions {
private String pid;
private String permission;
}
package com.zhiyou100.entity;
public class Role {
private String rid;
private String rname;
private Set<Permissions> permissionsSet;
}
package com.zhiyou100.entity;
public class User implements Serializable {
private String uid;
private String uname;
private String upwd;
private Set<Role> roleSet;
}
e 创建service层 模拟数据
package com.zhiyou100.service;
public interface UserService {
public User getOneByUname(String uname);
}
package com.zhiyou100.service;
@Service
public class UserServiceImp implements UserService{
@Override
public User getOneByUname(String uname) {
//创建权限
Permissions permissions1=new Permissions("1","query");
Permissions permissions2=new Permissions("2","add");
Set<Permissions> permissionsSet1=new HashSet<>(); permissionsSet1.add(permissions1);
permissionsSet1.add(permissions2);
//创建角色并关联权限
Role role1=new Role("1","admin",permissionsSet1);
Set<Role> roleSet=new HashSet<>();
roleSet.add(role1);
//创建对象 并关联角色
User user1=new User("1","zhangsan","123456",roleSet);
Set<Permissions> permissionsSet2=new HashSet<>();
permissionsSet2.add(permissions1);
Role role2=new Role("2","user",permissionsSet2);
Set<Role> roleSet2=new HashSet<>();
roleSet2.add(role2);
User user2=new User("2","lisi","123456",roleSet2);
//把所有对象装入map中 模拟数据库
Map<String,User> map=new HashMap<>();
map.put(user1.getUname(),user1);
map.put(user2.getUname(),user2);
return map.get(uname);
}
}
f 自定义realm
package com.zhiyou100.shiro;
import com.zhiyou100.entity.Permissions;
import com.zhiyou100.entity.Role;
import com.zhiyou100.entity.User;
import com.zhiyou100.service.UserService;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.springframework.beans.factory.annotation.Autowired;
public class CustomRealm extends AuthorizingRealm {
@Autowired
private UserService userService;
@Override
/*权限配置*/
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection pc) {
//获取登陆用户名
String name=(String) pc.getPrimaryPrincipal();
//获取用户
User user=userService.getOneByUname(name);
//添加用户的角色和权限信息到认证中心
SimpleAuthorizationInfo sin=new SimpleAuthorizationInfo();
for (Role role : user.getRoleSet()) {
sin.addRole(role.getRname());
for (Permissions ps : role.getPermissionsSet()) {
sin.addStringPermission(ps.getPermission());
}
}
return sin;
}
@Override
/*认证配置*/
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken at) throws AuthenticationException {
if(at.getPrincipal()==null){ return null; }
String name=at.getPrincipal().toString();
User user=userService.getOneByUname(name);
if(user==null){ return null; }
SimpleAuthenticationInfo sai=new SimpleAuthenticationInfo(name,user.getUpwd().toString(),getName());
return sai;
}
}
g 创建shiro的配置类 (创建bean)
package com.zhiyou100.config;
import com.zhiyou100.shiro.CustomRealm;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator;
import org.springframework.boot.autoconfigure.condition.ConditionalOnMissingBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.util.HashMap;
import java.util.Map;
@Configuration
public class shiroConfig {
@Bean
@ConditionalOnMissingBean
public DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator(){
DefaultAdvisorAutoProxyCreator dc=new DefaultAdvisorAutoProxyCreator();
dc.setProxyTargetClass(true);
return dc;
}
@Bean
public CustomRealm myShiroRealm(){
CustomRealm customRealm=new CustomRealm();
return customRealm;
}
@Bean
public SecurityManager securityManager(){
DefaultWebSecurityManager sm=new DefaultWebSecurityManager();
sm.setRealm(myShiroRealm());
return sm;
}
@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
ShiroFilterFactoryBean sfb=new ShiroFilterFactoryBean();
sfb.setSecurityManager(securityManager);
Map<String,String> map=new HashMap<>();
map.put("/logout","logout");//默认退出方式
map.put("/**","authc"); //对所有用户自动 验证
sfb.setLoginUrl("/login");//登陆的url
sfb.setSuccessUrl("/index");//登陆成功的url
sfb.setUnauthorizedUrl("/error");//登陆失败的url
sfb.setFilterChainDefinitionMap(map);
return sfb;
}
@Bean
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager){
AuthorizationAttributeSourceAdvisor aas=new AuthorizationAttributeSourceAdvisor();
aas.setSecurityManager(securityManager);
return aas;
}
}
h 创建异常处理的controller/过滤器 (可以不要 和主题无关)
package com.zhiyou100.filter;
import org.apache.shiro.authz.AuthorizationException;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.bind.annotation.ResponseBody;
@ControllerAdvice
public class ExceptionHandlerController {
@ExceptionHandler(AuthorizationException.class)
@ResponseBody
public String AuthorizationExceptionHandler(AuthorizationException e){
return "没有通过验证!"+e.getMessage();
}
}
i 创建usercontroller
package com.zhiyou100.controller;
import com.zhiyou100.entity.User;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.AuthorizationException;
import org.apache.shiro.authz.annotation.RequiresPermissions;
import org.apache.shiro.authz.annotation.RequiresRoles;
import org.apache.shiro.subject.Subject;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.ResponseBody;
@Controller
public class UserController {
@GetMapping("/login")
@ResponseBody
public String login(User user){
if(user.getUpwd()==null||user.getUname()==null){
return "用户名和密码都不能为空!";
}
Subject subject= SecurityUtils.getSubject();
UsernamePasswordToken usernamePasswordToken=new UsernamePasswordToken(user.getUname(),user.getUpwd());
try{
subject.login(usernamePasswordToken);
}catch(UnknownAccountException e){
return "用户名不存在!";
}catch(AuthenticationException e){
return "账号或者密码错误!";
}catch(AuthorizationException e){
return "没有权限!";
}
return "login success";
}
@RequiresRoles("admin") //限制角色
@GetMapping("/admin")
@ResponseBody
public String adminMethod(){
return "admin success";
}
@RequiresPermissions("query") //限制权限
@GetMapping("/index")
@ResponseBody
public String indexMethod(){
return "index success";
}
@RequiresPermissions("add")//限制权限
@GetMapping("/add")
@ResponseBody
public String addMethod(){
return "add success";
}
}