SpringBoot 20 Shiro授权的实现和整合Thymeleaf

最新推荐文章于 2022-10-22 18:13:55 发布

牟泉禹[Dark Cat]

最新推荐文章于 2022-10-22 18:13:55 发布

阅读量239

点赞数

BY-牟泉禹/MuQuanyu

本文链接：https://blog.csdn.net/qq_52606908/article/details/126133349

版权

学习笔记专栏收录该内容

387 篇文章 11 订阅

订阅专栏

20.1 Shiro授权的实现

先写一个未授权的 Controller，然后设置没有授权会跳转的页面

    @RequestMapping("noauth")
    @ResponseBody
    public String unauthorized(){
        return "未经授权无法访问此页面";
    }

// perms[user:add] 必须得有 user:add 权限才可以 访问 /user/add
filterMap.put("/user/add","perms[user:add]");
// 未授权 会跳转的页面
bean.setUnauthorizedUrl("/noauth");

filterMap.put("/user/add","perms[user:add]"); ：这个其实就是授权最常用的监测点。就是通过授权来判断你是否可以访问页面！

在这里插入图片描述

在授权方法里面赋予授权

    // 授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

        System.out.println("执行了授权");

        // 授予用户 权限
        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();

        simpleAuthorizationInfo.addStringPermission("user:add");


        return simpleAuthorizationInfo;
    }

在这里插入图片描述
这样的话，你会发现无论你登录哪个用户都会去赋予授权。诶？这样不就完蛋了吗？我们必须根据用户来赋予给它对应的授权呀。

数据库设计 perms 字段、role 字段来判断赋予的授权！

在这里插入图片描述

首先我们肯定要解决最大的难题，就是授权那里，怎么能拿到当前认证登录成功的用户呢？？因为如果你拿不到。那肯定是无法取出对应的 `perms` 和 `role` 的呀。

解决方案：分析 SimpleAuthenticationInfo(Principal,user.getPwd(),realmName);

我们发现第一个参数是信息主体，也就是一个对象。那么我们想一下，认证登录的时候，什么玩意是信息的主体？答： user 对象，整个user 对象就是我们需要的信息主体。

所以我们直接传递过去就可以了。

// 认证方法那里
return new SimpleAuthenticationInfo(user,user.getPwd(),"userRealm");

在这里插入图片描述
然后我们知道 SecurityUtils.getSubject(); 获取到的 subject 是独立的。所以在授权方法那里也是可以拿到的。

    // 授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

        System.out.println("执行了授权");

        // 拿到 当前 登录的这个对象
        Subject subject = SecurityUtils.getSubject();
        // 拿到 信息主体 user 这个对象，因为我们 传递 就是 user 对象
        User user = (User)subject.getPrincipal();

        // 授予用户 权限
        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();

        // 添加 用户的 权限
        simpleAuthorizationInfo.addStringPermission(user.getPerms());
        // 添加 用户的 角色
        simpleAuthorizationInfo.addRole(user.getRole());


        return simpleAuthorizationInfo;
    }

在这里插入图片描述

我们正常开发的话，权限和角色不可能是一个。而一般情况下，我们都会把多个权限和角色的字符串拼接在一起。比如说权限A|权限B 这样的方式，然后用 split() 分割成一个 String 的数组即可。

20.2 整合 Thymeleaf

其实 Shiro 整合 Thymeleaf，就是用来做 授权控制页面渲染的。

导入依赖

        <!-- https://mvnrepository.com/artifact/com.github.theborakompanioni/thymeleaf-extras-shiro -->
        <dependency>
            <groupId>com.github.theborakompanioni</groupId>
            <artifactId>thymeleaf-extras-shiro</artifactId>
            <version>2.1.0</version>
        </dependency>

整合 shiroDialect

    // 整合 shiroDialect，为了 thymeleaf 做的
    @Bean
    public ShiroDialect shiroDialect(){
        return new ShiroDialect();
    }

在这里插入图片描述
3. 使用命名空间 shiro:

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:shiro="http://www.thymeleaf.org/thymeleaf-extras-shiro">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>首页</h1>
<p>[[${msg}]]</p>
<hr>
<div shiro:hasPermission="user:add">
    <a th:href="@{/user/add}">add</a>
</div>
<div shiro:hasPermission="user:update">
    <a th:href="@{/user/update}">update</a>
</div>

<a th:href="@{/user/logout}">注销</a>
</body>
</html>

在这里插入图片描述

利用 subjec.getSession() 去编写 session

因为我们是 DefaultWebSessionManager 也就是 WEB 项目的管理者，所以此时获取到的 session 就是 httpSession。这个不用怀疑。

在这里插入图片描述

我们直接可以在认证这里进行 session 节点的添加。

    // 认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        System.out.println("执行了认证");

        UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
        User user = userService.getUserByName(token.getUsername());

        if(user == null){
            return null;// 这样的写法 会自动 抛出 异常 UnknowAccountException
        }

        // 设置一个 session 的键值对节点

        Subject subject = SecurityUtils.getSubject();
        Session session = subject.getSession();
        session.setAttribute("loginUser",user);

        // 密码认证，shiro 不让我们 开发者去做。它帮我们做。所以不用写

        return new SimpleAuthenticationInfo(user,user.getPwd(),"userRealm");
    }

subject.logout(); // 会自动销毁 session
在这里插入图片描述
让其没有登陆过的，显示登录，不显示注销。让其登陆过的，只显示注销。

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:shiro="http://www.thymeleaf.org/thymeleaf-extras-shiro">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>首页</h1>
<p>[[${msg}]]</p>
<hr>
<div th:if="${session.loginUser == null}">
    <a th:href="@{/toLogin}">登录</a>
</div>
<div shiro:hasPermission="user:add">
    <a th:href="@{/user/add}">add</a>
</div>
<div shiro:hasPermission="user:update">
    <a th:href="@{/user/update}">update</a>
</div>
<div th:if="!${session.loginUser == null}">
    <a th:href="@{/user/logout}">注销</a>
</div>

</body>
</html>