Shrio笔记

最新推荐文章于 2024-06-15 23:37:43 发布
最新推荐文章于 2024-06-15 23:37:43 发布
阅读量115 收藏
点赞数
分类专栏： java笔记 文章标签： 服务器 运维 java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_52581566/article/details/122565818
版权

文章目录

一、权限管理

不同身份的用户进入到系统所能完成的操作是不同的，我们对不同用户进行的可执行的操作管理称之为权限管理

1.1 实现方法

①基于主页的实现方法（权限通过主页来限制）

适用于权限管理比较单一，用户少，权限固定

在这里插入图片描述
②基于用户权限的实现方法

可以实现权限的动态分配，但是不够灵活

在这里插入图片描述
③RBAC 基于角色的访问控制（Role-Based Access Control)

在这里插入图片描述

二、Shiro工作原理

2.1Shiro核心功能

Authentication 认证 ，Authorization 授权，Session Management 会话管理功能，Cryptography 密码管理

  • Authentication 认证，验证用户是否有相应的身份—登录认证

  • Authorization 授权，即权限验证，对已经通过认证的用户检查是否具有某个权限或角色，从而控制是否能够进行某种操作

  • Session Management 会话管理功能，用户认证成功之后创建会话，在没有退出之前，当前用户的所有信息都会保存在这个会话中

  • Cryptography 密码管理，对敏感信息进行加密处理，shiro就提供这种密钥。

  • 支持特性：

    Web Support —shiro提供过滤器。

    ​ Caching 缓存支持，shiro可以缓存用户信息以及用户角色权限信息；提高执行效率。

    ​ Concurrency shiro支持多线程应用。

    ​ Testing 提供测试支持。

2.2 核心组件

三大核心组件： Subject , Security Manager, Realms

  • Subject, 表示待认证和授权用户。
  • Security Manager，它是shiro框架的核心，shiro就是通过Security Manager来进行内部实例的管理，并通过它提供安全管理的各种服务。
  • Security ,相当于shiro进行认证和授权的数据源，充当了shiro与安全数据的“桥梁”。

shiro的工作示意图 ：
在这里插入图片描述

三、springboot整合shiro

3.1创建项目

包含：mysql, springweb, thymeleaf, druid和mybatis

依赖：

	   <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <scope>runtime</scope>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <optional>true</optional>
        </dependency>
<!--        druid starter-->
        <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>druid</artifactId>
            <version>1.1.12</version>
        </dependency>
<!--        mybatis-->
        <dependency>
            <groupId>org.mybatis.spring.boot</groupId>
            <artifactId>mybatis-spring-boot-starter</artifactId>
            <version>2.2.0</version>
        </dependency>
<!--        junit测试-->
        <dependency>
            <groupId>junit</groupId>
            <artifactId>junit</artifactId>
            <scope>test</scope>
        </dependency>
3.2 yml配置：
spring:
  datasource:
    druid:
      url: jdbc:mysql://localhost:3306/shirotest?serverTimezone=UTC&useUnicode=true&characterEncoding=utf8
      driver-class-name: com.mysql.cj.jdbc.Driver
      username: root
      password: chen123456
      initial-size: 1
      min-idle: 1
      max-active: 20
server:
  port: 8081
mybatis:
  mapper-locations: classpath:/mapper/*.xml
  type-aliases-package: com.vector.beens

整合shiro:

<!--        shiro-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.7.0</version>
        </dependency>
3.3 配置shiro的ini拦截器
package com.vector.config;

import org.apache.shiro.realm.text.IniRealm;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.HashMap;
import java.util.Map;
@Configuration
public class ShiroConfig {

  @Bean
  public IniRealm getIniRealm(){
    IniRealm iniRealm = new IniRealm("classpath:shiro.ini");
    return iniRealm;
  }
  @Bean
  public DefaultWebSecurityManager getDefaultWebSecurityManager(IniRealm iniRealm){
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    // securityManager要完成需要realm
    securityManager.setRealm(iniRealm);
    return securityManager;
  }
  // 过滤器
  @Bean
  public ShiroFilterFactoryBean shiroFilter(DefaultWebSecurityManager securityManager){
    ShiroFilterFactoryBean filter = new ShiroFilterFactoryBean();
    //shiro认证和授权是需要securityManager的
    filter.setSecurityManager(securityManager);
    //拦截规则
    /**
     * anon 匿名用户可访问
     * authc 认证用户可访问
     * user 使用RemeberMe的用户可访问
     * perms 对应权限可访问
     * role 对应角色可访问
     */
    Map<String,String> filterMap = new HashMap<>();
    //根目录不拦截
    filterMap.put("/","anon");
    //。。。
    filterMap.put("/login.html","anon");
    filterMap.put("/regist.html","anon");
    filterMap.put("/user/login","anon");
    filterMap.put("/user/regist","anon");
    filterMap.put("/static/**","anon");
    //认证用户可访问
    filterMap.put("/**","authc");
    filter.setFilterChainDefinitionMap(filterMap);
      // 设置默认登陆页面
    filter.setLoginUrl("/login.html");
    // 设置未授权访问页面跳转路径
    filter.setUnauthorizedUrl("/login.html");
    return filter;
  }
}
3.4 基于数据库jdbc的shiro配置
package com.vector.config;
@Configuration
public class ShiroConfig {

  @Bean
  public JdbcRealm getJdbcRealm(DataSource dataSource){
    JdbcRealm jdbcRealm = new JdbcRealm();
    //会自动从数据库中查询用户及权限数据（数据库表结构要符合JdbcRealm的规范）
    jdbcRealm.setDataSource(dataSource);
    //默认开启认证功能，需要手动开启授权功能
    jdbcRealm.setPermissionsLookupEnabled(true);
    return jdbcRealm;
  }
  @Bean
  public DefaultWebSecurityManager getDefaultWebSecurityManager(JdbcRealm jdbcRealm){
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    // securityManager要完成需要realm
    securityManager.setRealm(jdbcRealm);
    return securityManager;
  }
  // 过滤器
  @Bean
  public ShiroFilterFactoryBean shiroFilter(DefaultWebSecurityManager securityManager){
    ShiroFilterFactoryBean filter = new ShiroFilterFactoryBean();
    //shiro认证和授权是需要securityManager的
    filter.setSecurityManager(securityManager);
    //拦截规则
    Map<String,String> filterMap = new HashMap<>();
    //根目录不拦截
    filterMap.put("/","anon");
    filterMap.put("/login.html","anon");
    filterMap.put("/regist.html","anon");
    filterMap.put("/user/login","anon");
    filterMap.put("/user/regist","anon");
    filterMap.put("/static/**","anon");
    //认证用户可访问
    filterMap.put("/**","authc");
    filter.setFilterChainDefinitionMap(filterMap);
    // 设置默认登陆页面
    filter.setLoginUrl("/login.html");
    // 设置未授权访问页面跳转路径
    filter.setUnauthorizedUrl("/login.html");
    return filter;
  }
}
3.4 serviceiml中代码
// 登录认证代码
@Service
public class UserServiceImpl implements UserService {
  @Override
  public void chickLogin(String username, String password) {
    Subject subject = SecurityUtils.getSubject();
    UsernamePasswordToken token = new UsernamePasswordToken(username, password);
    subject.login(token);
  }
}

四、shiro标签的使用

  1. jsp中的引用

    <%@ taglib prefix="shiro" url="http://shiro.apache.org/tags" %>

  2. Thymeleaf模板中引用

    • 导入对shiro的依赖

      <dependency>
     <groupId>com.github.theborakompanioni</groupId>
     <artifactId>thymeleaf-extras-shiro</artifactId>
     <version>2.0.0</version>
</dependency>

      在ShiroConfig中配置shiro的

      @Bean
  public ShiroDialect getShiroDialect(){
    return new ShiroDialect();
  }
// ...

      引入shiro命名空间

    <html xmlns:th="http://www.thymeleaf.org" 
      xmlns:shiro="http://www.pollix.at/thymeleaf/shiro">
    ...
</html>
常用标签的使用
<shiro:guest>该标签中的内容是在未登录状态下显示</shiro:guest>	

<shiro:user>已登陆用户可访问</shiro:user>

用户[<shiro:principal/>]欢迎登录		//获取用户

// 判断角色
当前用户是<shiro:hasRole  name="admin">超级管理员</shiro:hasRole>
        <shiro:hasRole  name="cmanager">仓库管理员</shiro:hasRole>
        <shiro:hasRole  name="xmanage">销售管理员</shiro:hasRole>

// 判断用到的权限
仓管
<ul>
    <shiro:hasPermission name="sys:c:save">
        <li><a href="#">保存</a></li>
    </shiro:hasPermission>
    <shiro:hasPermission name="sys:c:delete">
        <li><a href="#">删除</a></li>
    </shiro:hasPermission>
</ul>

五、Dao层实现

1.根据用户名查询用户信息
2.shiro进行授权管理需要当前用户的角色和权限
    。根据用户名查询当前用户的角色列表（联合查询）
    。根据用户查询当前用户的权限列表（联合查询）

六、自定义realm的配置

6.1 MyRealm类
public class MyRealm extends AuthorizingRealm {
  @Resource
  private UserDao userDao;
  @Resource
  private RoleDao roleDao;
  @Resource
  private PermissionDao permissionDao;

  public String getName(){
    return "myRealm";
  }
  /**
   * 获取授权数据
   */
  @Override
  protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    //获取用户的用户名
    String username = (String) principalCollection.iterator().next();
    //查询角色列表
    Set<String> roleNames = roleDao.queryRoleNameByUserName(username);
    //查询当前用户的权限列表
    Set<String> ps = permissionDao.queryPermissionByUserName(username);
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.setRoles(roleNames);
    info.setStringPermissions(ps);
    return info;
  }

  /**
   * 获取认证数据
   */
  @Override
  protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
    // 从token中获取用户名
    UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
    String username = token.getUsername();
    // 根据用户名从数据库中查询安全数据
    User user = userDao.queryUserByUserName(username);
    if (user==null){
      return null;
    }
    AuthenticationInfo info = new SimpleAuthenticationInfo(
            username,   //当前用户名
            user.getUserPwd(),  // 从数据库中查出的密码
            getName()
    );
    return info;
  }
}
6.2 config中
@Configuration
public class ShiroConfig {
  @Bean
  public ShiroDialect getShiroDialect(){
    return new ShiroDialect();
  }

  @Bean
  public MyRealm getMyRealm(){
    MyRealm myRealm = new MyRealm();
    return myRealm;
  }
  @Bean
  public DefaultWebSecurityManager getDefaultWebSecurityManager(MyRealm myRealm){
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    // securityManager要完成需要realm
    securityManager.setRealm(myRealm);
    return securityManager;
  }
  // 过滤器
  @Bean
  public ShiroFilterFactoryBean shiroFilter(DefaultWebSecurityManager securityManager){
    ShiroFilterFactoryBean filter = new ShiroFilterFactoryBean();
    //shiro认证和授权是需要securityManager的
    filter.setSecurityManager(securityManager);
    //拦截规则
    Map<String,String> filterMap = new HashMap<>();
    //根目录不拦截
    filterMap.put("/","anon");
    filterMap.put("/login.html","anon");
    filterMap.put("/regist.html","anon");
    filterMap.put("/user/login","anon");
    filterMap.put("/user/regist","anon");
    filterMap.put("/static/**","anon");
    //认证用户可访问
    filterMap.put("/**","authc");
    filter.setFilterChainDefinitionMap(filterMap);
    // 设置默认登陆页面
    filter.setLoginUrl("/login.html");
    // 设置未授权访问页面跳转路径
    filter.setUnauthorizedUrl("/login.html");
    return filter;
  }
}

七、shiro的mad5加密

// shiro.config中添加内容
@Bean
  public HashedCredentialsMatcher getHashedCredentialsMatcher(){
    //指定加密规则
    HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
    //加密方式
    matcher.setHashAlgorithmName("md5");
    //hash加密次数
    matcher.setHashIterations(1);
    return matcher;
  }

  @Bean
  public MyRealm getMyRealm(HashedCredentialsMatcher matcher){
    MyRealm myRealm = new MyRealm();
    myRealm.setCredentialsMatcher(matcher);
    return myRealm;
  }
...
  // 如果数据库中的密码加了盐则需要 （MyRealm.java中）
    /**
   * 获取认证数据
   */
  @Override
  protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
    // 从token中获取用户名
    UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
    String username = token.getUsername();
    // 根据用户名从数据库中查询安全数据
    User user = userDao.queryUserByUserName(username);
    if (user==null){
      return null;
    }
    AuthenticationInfo info = new SimpleAuthenticationInfo(
            username,   //当前用户名
            user.getUserPwd(),  // 从数据库中查出的密码
            ByteSource.Util.bytes(user.getPwdSalt()),
            getName()
    );
    return info;
  }

八、授权处理

8.1 配置注解支持

在config中配置

// 注解拦截
  @Bean
  public DefaultAdvisorAutoProxyCreator getDefaultAdvisorAutoProxyCreator(){
    DefaultAdvisorAutoProxyCreator autoProxyCreator = new DefaultAdvisorAutoProxyCreator();
    autoProxyCreator.setProxyTargetClass(true);
    return autoProxyCreator;
  }
  //注解权限
  @Bean
  public AuthorizationAttributeSourceAdvisor getAuthorizationAttributeSourceAdvisor(DefaultWebSecurityManager securityManager){
    AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
    advisor.setSecurityManager(securityManager);
    return advisor;
  }


//调用注解,例如：
@RequiresPermissions("sys:c:save")
8.2 全局异常处理
@ControllerAdvice
public class GlobalExceptionHander {
  @ExceptionHandler
  public String doException(Exception e){
    if (e instanceof AuthorizationException){
      return "";
    }
    return "";
  }
}

九、缓存的使用

减少数据库的访问压力

  • 导入依赖
<!--        boot缓存-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-cache</artifactId>
        </dependency>
<!--        第三方缓存-->
        <dependency>
            <groupId>net.sf.ehcache</groupId>
            <artifactId>ehcache</artifactId>
        </dependency>
<!--        shiro支持缓存-->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.7.0</version>
        </dependency>
  • ehcache.xml配置
<?xml version="1.0" encoding="UTF-8" ?>
<ehcache updateCheck="false" dynamicConfig="false">
    <diskStore path="D:\TEMP" />
    <cache name="users" timeToliveSecond="300" maxEntriesLocalHeap="1000"/>
    <defaultCache name="defaultCache"
                  maxElementsInMemory="10000"
                  eternal="false"
                  timeToIdleSeconds="120"
                  timeToLiveSeconds="120"
<!--                  是否存入磁盘-->
                  overflowToDisk="false"
                  maxElementsOnDisk="100000"
                  diskPersistent="false"
                  diskExpiryThreadIntervalSeconds="120"
<!--                    缓存淘汰策略LRU(最近最久未使用） LFU(最少使用）-->
                  memoryStoreEvictionPolicy="LRU" />
</ehcache>
  • ShiroConfig.java配置缓存
//缓存配置
  @Bean
  public EhCacheManager getEhCacheManager(){
    EhCacheManager ehCacheManager = new EhCacheManager();
    ehCacheManager.setCacheManagerConfigFile("classpath:ehcache.xml");
    return ehCacheManager;
  }
  
  @Bean
  public DefaultWebSecurityManager getDefaultWebSecurityManager(MyRealm myRealm,EhCacheManager ehCacheManager){
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    // securityManager要完成需要realm
    securityManager.setRealm(myRealm);
    securityManager.setCacheManager(ehCacheManager);
    return securityManager;
  }
AllofAll01
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Shiro笔记
Lightllll的博客
11-29 958
shiro
狂神Shiro 笔记
fengjiuxin的博客
08-14 549
Shiro 简介 三个核心：Subject，Shiro SecurityManager,Reaim Shiro SecurityManager管理Subjec 架构 Authentication 身份认证、登录 Authorization 授权，即权限验证，验证某个已经认证的用户是否拥有某个权限 Session Manager 会话管理，session管理 web里边 Cryptography 加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储 Web Support 能够容易的集成We
shiro笔记
weixin_30954265的博客
06-25 63
***************@Date("2018-5-6")***************===知识点===1、spring.xml中的bean id 要与web.xml中定义的过滤器名称一致<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"/>和<filter&g...
尚硅谷(2022)Shiro笔记
weixin_52222660的博客
03-14 596
Shiro的概念
学习shiro笔记
KevinLoveJava
10-17 97
学习shiro做的笔记记录:http://gitee.com/zhongxu/shiro
尚硅谷Shiro笔记
m0_68554976的博客
02-09 130
Shiro
狂神shiro笔记
姜翰翰的博客
05-02 827
狂神shiro笔记shiro的快速开始shiro的subject分析1. 首先使用factory（工厂）创建shiro.ini实例2. 获取当前的用户对象（相对独立）3. 通过当前用户拿到session4. 登录认证5. 角色和权限的认证SpringBoot集成shiro1.springboot的包整合maven2.编写config的配置类登录拦截器用户认证静态编写用户密码认证 shiro的快速开始 maven配置： <!-- https://mvnrepository.com/artifact/or
shiro笔记大全
08-20
shiro
shiro笔记整理.docx
08-04
shiro笔记整理，通过学习shiro课程所做的笔记整理，可用于面试复习或者整体理解，但是做好还是配合课程进行具象的理解。https://blog.csdn.net/qq_23095607/article/details/107346396
Shiro笔记(内容精简，看完即会)
07-02
适用于做权限管理的后端人员和初学者使用，适用于做权限管理的后端人员和初学者使用，适用于做权限管理的后端人员和初学者使用，适用于做权限管理的后端人员和初学者使用，适用于做权限管理的后端人员和初学者使用，...
shiro学习笔记
04-03
shiro学习笔记以及代码，包括权限基础、shiro入门、shiro实例等
shiro学习笔记.rar
10-06
这是shiro的学习笔记，包括学习时候自己写的代码，主要内容就是使用springboot整合shiro，实现对用户的认证和授权，以及图片验证码的实现
服务器远程桌面经常连接不上，造成远程桌面连接不上的原因都有哪些
day3ZY的博客
06-15 422
防火墙和安全软件在保护服务器免受恶意攻击的同时，也可能误判正常的远程连接请求，导致连接被阻止。例如，如果远程桌面服务未启用，或者远程桌面端口被占用或配置错误，都可能导致连接失败。此外，如果服务器上安装了安全类软件，且未正确配置以允许远程桌面连接，也可能导致连接问题。例如，服务器可能遭受DDOS攻击，导致流量超出防御峰值，IP被封锁，进而无法远程连接。服务器远程桌面连接不稳定或经常连接不上是一个较为常见的技术问题，其可能的原因涉及多个层面，包括网络设置、服务器配置、系统安全等方面。
百度网盘限速解决办法
生活在别处
06-13 4003
比如可以获取下载直链后，使用IDM（Internet Download Manager）对该直链进行多线程下载，但是并不会有实际速率提升效果，因为百度网盘在服务器端进行了限速，多线程的速率总和被限制在了100KB/s左右。（现在虽然是所谓玩游戏获得会员下载体验，实际上点击后会在百度网盘内打开一个web游戏，并不需要游玩游戏，直接等待会员下载体验时间结束即可关闭web游戏窗口）所以，客户端这些改动伎俩通通没有实际效果，即使在客户端显示无限速、显示会员体验，都只是自欺欺人而已。
DELL服务器插入新磁盘、创建虚拟磁盘、挂载磁盘步骤
Clang’s Blog
06-15 554
分区磁盘 sudo fdisk /dev/sdb # 格式化分区 sudo mkfs.ext4 /dev/sdb1 # 创建挂载点 sudo mkdir /mnt/newdisk # 挂载分区 sudo mount /dev/sdb1 /mnt/newdisk # 编辑 fstab 以实现持久挂载 sudo nano /etc/fstab这样就可以将新磁盘（sdb）挂载到，并且每次重启后它都会自动挂载在那里。
计算机网络(6) ICMP协议
qq_42761215的博客
06-14 428
ICMP是网络通信中不可或缺的协议，虽然不传输用户数据，但在网络管理和诊断中起着重要作用。理解ICMP及其各种消息类型对于网络管理员和工程师来说是至关重要的，它有助于维护网络的正常运行和性能优化。
服务器权限管理
2302_80643218的博客
06-15 406
我们linux服务器上有严格的权限等级，如果权限过高导致误操作会增加服务器的风险。所以对于了解linux系统中的各种权限及要给用户，服务等分配合理的权限十分重要。（权限越大，责任越大）
Linux 常用命令 - userdel 【删除用户】
随便转转
06-12 149
userdel 这个命令源自于 “user delete”，即用户删除。这个命令主要用于在 Linux 系统中删除用户账户及其相关文件。当管理员需要移除一个用户及其在系统中的所有踪迹时，会用到这个命令。
基于Django开发的电商购物平台(完整项目介绍 --＞ 项目环境 , 项目完整代码 , 项目服务器/虚拟机部署)
最新发布
xiugtt6141121的博客
06-15 275
> 本网站是基于Django+uwsgi+nginx+MySQL+redis+linux+requests开发的电商购物系统, > 以及通过使用爬虫技术批量获取商品数据. > 实现 > 客户端: 注册 , 登录 , 浏览记录保存, 购物车 , 订单等功能实现 > 管理端: 商品添加 , 用户管理等功能
狂神说springboot笔记shiro
03-16
狂神说Spring Boot笔记之Shiro是一篇关于如何使用Apache Shiro在Spring Boot项目中进行身份验证和授权的教程。它可以帮助开发人员快速和简单地在应用程序中实现安全功能。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值