Shiro 授权实现

一. 授权

      授权，也叫访问控制，即在应用中控制谁能访问哪些资源（如访问页面/编辑数据/页面操作等）。在授权中需了解的几个关键对象：主体（Subject）、资源（Resource）、权限（Permission）、角色（Role）。

      主体：即访问应用的用户，在 Shiro 中使用 Subject 代表该用户。用户只有授权后才允许访问相应的资源。

      资源：在应用中用户可以访问的任何东西，比如访问 JSP 页面、查看/编辑某些数据、访问某个业务方法、打印文本等等都是资源。用户只要授权后才能访问。

      权限：安全策略中的原子授权单位，通过权限我们可以表示在应用中用户有没有操作某个资源的权力。即权限表示在应用中用户能不能访问某个资源，如： 访问用户列表页面查看/新增/修改/删除用户数据（即很多时候都是 CRUD（增查改删）式权限控制）打印文档等等。

      从上面可以看出，权限代表了用户有没有操作某个资源的权利，即反映在某个资源上的操作允不允许，不反映谁去执行这个操作。所以后续还需要把权限赋予给用户，即定义哪个用户允许在某个资源上做什么操作（权限），Shiro 不会去做这件事情，而是由实现人员提供。

      Shiro 支持粗粒度权限（如用户模块的所有权限）和细粒度权限（操作某个用户的权限，即实例级别的），后续部分介绍。

      角色：角色代表了操作集合，可以理解为权限的集合，一般情况下我们会赋予用户角色而不是权限，即这样用户可以拥有一组权限，赋予权限时比较方便。典型的如：项目经理、技术总监、CTO、开发工程师等都是角色，不同的角色拥有一组不同的权限。

      隐式角色：即直接通过角色来验证用户有没有操作权限，如在应用中 CTO、技术总监、开发工程师可以使用打印机，假设某天不允许开发工程师使用打印机，此时需要从应用中删除相应代码；再如在应用中 CTO、技术总监可以查看用户、查看权限；突然有一天不允许技术总监查看用户、查看权限了，需要在相关代码中把技术总监角色从判断逻辑中删除掉；即粒度是以角色为单位进行访问控制的，粒度较粗；如果进行修改可能造成多处代码修改。

      显示角色：在程序中通过权限控制谁能访问某个资源，角色聚合一组权限集合；这样假设哪个角色不能访问某个资源，只需要从角色代表的权限集合中移除即可；无须修改多处代码；即粒度是以资源/实例为单位的；粒度较细。

二. 授权流程

      授权流程图如下：

      流程如下：

      首先调用 Subject.isPermitted*/hasRole*接口，其会委托给 SecurityManager，而 SecurityManager 接着会委托给 Authorizer；

      Authorizer 是真正的授权者，如果我们调用如 isPermitted(“user:view”)，其首先会通过 PermissionResolver 把字符串转换成相应的 Permission 实例；

      在进行授权之前，其会调用相应的 Realm 获取 Subject 相应的角色/权限用于匹配传入的角色/权限；

      Authorizer 会判断 Realm 的角色/权限是否和传入的匹配，如果有多个 Realm，会委托给 ModularRealmAuthorizer 进行循环判断，如果匹配如 isPermitted*/hasRole* 会返回 true，否则返回 false 表示授权失败。

      需要注意的是如果使用自定义 Realm 进行授权的话，应该使用继承 AuthorizingRealm类实现。 

三. 授权方式

      Shiro 支持三种方式的授权：

      ①编程式：通过写 if/else 授权代码块完成： 

Subject subject = SecurityUtils.getSubject();
if (subject.hasRole(“admin”)) {
    //有权限
} 
else {
    //无权限
}

      ②注解式：通过在执行的 Java 方法上放置相应的注解完成，没有权限将抛出相应的异常：

@RequiresRoles("admin")
public void hello() {
    //有权限
}

      ③JSP/GSP 标签：在 JSP/GSP 页面通过相应的标签完成：

<shiro:hasRole name="admin">
<!— 有权限 —>
</shiro:hasRole>

四. 授权简单实现

 1.配置文件

      首先在src/main/java下创建ini配置文件shiro-role.ini，在配置文件中配置用户拥有的角色以及角色拥有的权限:

[users]
zhang=123,role1,role2
wang=456,role1

[roles]
role1=user:create,user:update
role2=user:create,user:delete
role3=user:create,user:view

2.编写简单例子

public class AuthorizationTest {
      
    @Test
    public void testAuthorization() {
        Factory<org.apache.shiro.mgt.SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-role.ini");
        org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);

        //创建subject
        Subject subject = SecurityUtils.getSubject();
        //创建token令牌,这里的用户名和密码以后由用户输入
        UsernamePasswordToken token=new UsernamePasswordToken("zhang","123");

        try {
            //执行认证，将用户输入的信息同数据库(即.ini配置文件)中信息进行对比
            subject.login(token);
        } catch (AuthenticationException e) {
            e.printStackTrace();
        }

        System.out.println("认证状态:"+subject.isAuthenticated());

        //认证通过后才能执行授权
        //第一种授权方式是基于角色的授权,hasRole传入角色的标识
        boolean ishasRole = subject.hasRole("role1");//该用户是否有role1这个角色
        System.out.println("单个角色判断" + ishasRole);

        //hasAllRoles是否拥有多个角色
        boolean hasAllRoles=subject.hasAllRoles(Arrays.asList("role1","role2"));
        System.out.println("多个角色判断" + hasAllRoles);//角色的就讲到这里了，后面我们都是通过资源进行权限讲解

        //使用check方法进行授权，如果授权不通过会抛出异常
        subject.checkRole("role3");

        //第二种授权方式是基于资源的授权,isPermitted传入权限标识符
        boolean isPermitted = subject.isPermitted("user:create");//该用户是否有对user资源进行创建的权限
        System.out.println("单个权限判断" + isPermitted);

        //多个权限判断
        boolean isPermittedAll = subject.isPermittedAll("user:create:1","user:update");
        System.out.println("多个权限判断:" + isPermittedAll);

    }
}

五. 自定义Realm

      上面的简单例子是通过ini配置文件对权限信息进行静态配置，在实际中我们是从数据库中获取权限数据。因此跟上一篇身份认证博客一样，我们需要自定义Realm，由Realm从数据库查询权限数据。

      realm根据用户身份查询权限数据，将权限数据返回给authorizer(授权器)。

      创建自定义Realm类MyRealm2，继承AuthorizingRealm类，重写doGetAuthorizationInfo()方法:

// 用于授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
    // 从principals获取主身份信息
    // 将getPrimaryPrincipal方法返回值转为真实身份类型(在上边的goGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo)
    String userCode = (String) principals.getPrimaryPrincipal();

    // 根据身份信息获取权限信息,
    // 模拟从数据库中获取到的动态权限数据
    List<String> permissions = new ArrayList<String>();
    permissions.add("user:create");// 模拟user的创建权限
    permissions.add("items:add");// 模拟商品的添加权限

    // 查到权限数据，返回授权信息(包括上边的permissions)
    SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();

    // 将上边查询到授权信息填充到simpleAuthorizationInfo对象中
    simpleAuthorizationInfo.addStringPermissions(permissions);
    return simpleAuthorizationInfo;
}

 

  编写测试用例：

// 自定义realm进行资源授权测试
@Test
public void testAuthorizationCustomRealm() {
    // 第一步，创建SecurityManager工厂
    Factory<org.apache.shiro.mgt.SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-role.ini");

    // 第二步:创建SecurityManager
    org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();

    // 第三步，将SecurityManager设置到系统运行环境，和spring整合后会将SecurityManager配置到spring容器中，一般单例管理
    SecurityUtils.setSecurityManager(securityManager);

    // 第四步，创建subject
    Subject subject = SecurityUtils.getSubject();

    // 创建token令牌,这里的用户名和密码以后由用户输入
    UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");

    try {
            // 执行认证，将用户输入的信息同数据库(即.ini配置文件)中信息进行对比
            subject.login(token);
    } catch (AuthenticationException e) {
            e.printStackTrace();
    }

    System.out.println("认证状态:" + subject.isAuthenticated());

    // 基于资源的授权,调用isPermitted方法会调用CustomRealm从数据库查询正确的权限数据
    // isPermitted传入权限标识符，判断user:create:1是否在CustomRealm查询到的权限数据之内
    boolean isPermitted = subject.isPermitted("user:view:1");// 该用户是否有对user的1资源进行创建的权限
    System.out.println("单个权限判断" + isPermitted);

    // 多个权限判断
    boolean isPermittedAll = subject.isPermittedAll("user:create:1", "user:create");
    System.out.println("多个权限判断:" + isPermittedAll);
}

      通过如上步骤可以实现自定义权限验证了。

      自此，我们就完成了简单的Shiro授权实现。