3.Apache Shiro认证授权流程

目录

---

Shiro专栏目录（点击进入…）

---

---

Apache Shiro认证授权流程

继承AuthorizingRealm类然后重写doGetAuthorizationInfo()和doGetAuthenticationInfo()方法

（1）身份认证流程：doGetAuthenticationInfo()

在用户登录的时候调用的也就是执行SecurityUtils.getSubject().login()的时候调用（登录验证）

如果用户未登录，将跳转到loginUrl进行登录，登录表单中，包含了两个主要参数：用户名username、密码password（这两个参数名称不是固定的，但是要和FormAuthenticationFilter表单过滤器的参数配置要对应）

（1）用户输入这两个用户名和密码后提交表单，通过绑定了SecurityManager的SecurityUtils得到Subject实例，然后获取身份验证的UsernamePasswordToken传入用户名和密码
（2）调用subject.login(token)进行登录，调用之前必须通过SecurityUtils. setSecurityManager()设置，其会自动委托给Security Manager
（3）SecurityManager负责身份验证逻辑；它会委托给Authenticator进行身份验证
（4）Authenticator才是真正的身份验证者，Shiro API中核心的身份认证入口点，此处可以自定义插入自己的实现。Authenticator可能会委托给相应的AuthenticationStrategy进行多Realm身份验证，默认ModularRealmAuthenticator会调用AuthenticationStrategy进行多Realm身份验证
（5）Authenticator会把相应的token传入Realm，Realm会根据传入的用户名和密码去数据库进行校验（提供Service层登录接口），从Realm获取安全数据（如用户、身份、权限等），如果校验失败，就会抛出异常，登录失败；否则就登录成功。此处可以配置多个Realm，将按照相应的顺序及策略进行访问

（2）赋予角色和权限流程：doGetAuthorizationInfo()

在调用SecurityUtils.getSubject().isPermitted()这个方法时会调用doGetAuthorizationInfo()，而@RequiresPermissions这个注解起始就是在执行SecurityUtils.getSubject().isPermitted()

在某个方法上加上@RequiresPermissions注解，那么访问这个方法的时候，就会自动调用SecurityUtils.getSubject().isPermitted()，从而去调用doGetAuthorizationInfo()匹配权限

通常企业开发中将资源和权限表合并为一张权限表，如下：
（1）资源（资源名称、访问地址）
（2）权限（权限名称、资源id）
合并：权限（权限名称、资源名称、资源访问地址）