Shiro学习(四)——认证与授权(ini文件配置与数据库配置方式)

前言

安全框架最基本的两个功能是认证和授权,说俗一点就是登陆和权限管理。在系列第一篇文章《Shiro学习(一)——Shiro配置与快速开始》中,我们已经通过login验证了其认证功能。本篇主要讲讲授权功能。

另外也想讲讲通过数据库方式进行授权的管理。网上搜索以及很多例子基本都是以ini文件配置为主,即使个别使用数据库管理的,也讲得不清不楚,希望这篇文章能让大家搞明白。

ini文件配置方式

还是先以ini文件配置方式讲起,我们新建文件shiro.ini

[users]
zhang=123,role1
wang=456,role1,role2
[roles]
role1=user:create,user:update
role2=user:create,user:delete

注意ini文件中,用户信息要在[users]小节下,角色权限要在[roles]小节下。因为ini文件配置方式会调用IniRealm来处理,该类会寻找[users]和[roles]小节进行处理。

[users]小节下,以“用户名=密码,角色1,角色2,......”进行配置。因此上述为用户名“zhang”,其密码为123,其角色为role1。

[roles]小节下,以“角色=权限1,权限2,......”进行配置。权限还有一些简写的方式,这里就不讲了,需要的可以自行查询。

接下来我们写一个测试类:

package com.sadoshi.shiro;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.env.BasicIniEnvironment;
import org.apache.shiro.env.Environment;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
import org.junit.Before;
import org.junit.Test;

import junit.framework.Assert;

public class ShiroIniTest {
	
	private Subject subject;
	
	@Before
	public void init() {
		Environment env = new BasicIniEnvironment("classpath:shiro.ini");
		org.apache.shiro.mgt.SecurityManager securityManager = env.getSecurityManager();
		SecurityUtils.setSecurityManager(securityManager);
		subject = SecurityUtils.getSubject();
	}
	
	@Test
	public void testAuthorization() {
		UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
		try {
			subject.login(token);
			System.out.println(subject.hasRole("role1"));
			System.out.println(subject.hasRole("role2"));
			System.out.println(subject.isPermitted("user:create"));
			System.out.println(subject.isPermitted("user:update"));
		} catch (AuthenticationException e) {
			e.printStackTrace();
		}
		subject.logout();
	}
}

init函数内是对subject进行初始化,testAuthorization先login进行认证,之后我们用hasRole方法校验该帐号是否为role1、role2角色,然后用isPermitted校验帐号是否具备user:create和user:update权限。

上述的例子网上随便搜一下就有,仅当做个铺垫和记录,接下来讲通过数据库配置才是重点。

通过mysql数据库配置方式

绝大多数项目,我们的帐号密码,以及角色权限,应该都是存储在数据库中的,基本没什么项目用ini文件配置账号权限。数据库配置并不难,而且即使不扩展JdbcRealm,也可以具备一定灵活性。关于灵活性后面再讲一下,先讲默认情况。

建表

首先数据库必须新建三张表

CREATE TABLE `users` (
   `id` bigint(20) NOT NULL AUTO_INCREMENT,
   `username` varchar(100) DEFAULT NULL,
   `password` varchar(100) DEFAULT NULL,
   `password_salt` varchar(100) DEFAULT NULL,
   PRIMARY KEY (`id`),
   UNIQUE KEY `idx_users_username` (`username`)
 ) ENGINE=InnoDB AUTO_INCREMENT=3 DEFAULT CHARSET=utf8
CREATE TABLE `user_roles` (
   `id` bigint(20) NOT NULL AUTO_INCREMENT,
   `username` varchar(100) NOT NULL,
   `role_name` varchar(100) NOT NULL,
   PRIMARY KEY (`id`)
 ) ENGINE=InnoDB AUTO_INCREMENT=4 DEFAULT CHARSET=utf8
CREATE TABLE `roles_permissions` (
   `id` bigint(20) NOT NULL AUTO_INCREMENT,
   `role_name` varchar(100) DEFAULT NULL,
   `permission` varchar(100) DEFAULT NULL,
   PRIMARY KEY (`id`)
 ) ENGINE=InnoDB DEFAULT CHARSET=utf8

这三个表的表名、字段名都不能改动(主键id除外),因为JdbcRealm的默认查询语句就是查这三个表对应的字段。当然这几个表可以添加更多的字段,但至少要有这些字段,而且字段名和表名不能动。

我们插入一些测试数据,和我们通过ini配置的情况一样:

INSERT INTO users(username, `password`) VALUES ('zhang','123');
INSERT INTO users(username, `password`) VALUES ('wang','456');

INSERT INTO user_roles(username, role_name) VALUES ('zhang','role1');
INSERT INTO user_roles(username, role_name) VALUES ('wang','role1');
INSERT INTO user_roles(username, role_name) VALUES ('wang','role2');

INSERT INTO roles_permissions(role_name, permission) VALUES ('role1', 'user:create');
INSERT INTO roles_permissions(role_name, permission) VALUES ('role1', 'user:update');
INSERT INTO roles_permissions(role_name, permission) VALUES ('role2', 'user:create');
INSERT INTO roles_permissions(role_name, permission) VALUES ('role2', 'user:delete');

配置JdbcRealm

我们有两种方式配置shiro使用JdbcRealm,通过ini方式或者通过纯java方式。读者选择其中一种即可,当然以后有多个realm需要配置,也可以混合使用。

ini文件配置方式

这里创建ini配置文件shiro-jdbc-realm.ini:

[main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
#dataSource.password=
jdbcRealm.dataSource=$dataSource
jdbcRealm.permissionsLookupEnabled=true
securityManager.realms=$jdbcRealm

这里先指定jdbcRealm的类型,然后指定dataSource的类型,之后设置dataSource的各项属性,把dataSource注入jdbcRealm中,再把jdbcRealm注入到securityManager即可。注意如果使用权限控制的话,一定要把jdbcRealm.permissionsLookupEnabled这个设置为true,因为默认是false,这种情况下jdbcRealm不会去查询roles_permissions,之前的isPermitted判断权限都会返回false。

纯java配置

java的配置差不多,如果了解spring ioc注入原理的,应该对这些配置方式不陌生:

public void init() throws Exception {
	DefaultSecurityManager securityManager = new DefaultSecurityManager();
	JdbcRealm realm = new JdbcRealm();
	Class<DruidDataSource> clazz = DruidDataSource.class;
	DruidDataSource dataSource = clazz.newInstance();
	dataSource.setUsername("root");
	dataSource.setPassword("");
	dataSource.setUrl("jdbc:mysql://localhost:3306/shiro");
	dataSource.setDriverClassName("com.mysql.jdbc.Driver");
	realm.setDataSource(dataSource);
	realm.setPermissionsLookupEnabled(true);
	securityManager.setRealm(realm);
}

上面这段的函数实现的就是ini文件配置一样的功能。我们前面的文章分析了securityManager默认使用DefaultSecurityManager,所以这里我们直接new一个DefaultSecurityManager出来,利用反射创建dataSource,之后设置属性,再配置到securityManager中即可。这样我们就可以使用securityManager了,后面按之前的步骤调用SecurityUtils.setSecurityManager(securityManager),再获取subject即可。

测试权限效果

之后我们编写测试例子,我们使用纯java方式:

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.realm.jdbc.JdbcRealm;
import org.apache.shiro.subject.Subject;
import org.junit.Before;
import org.junit.Test;

import com.alibaba.druid.pool.DruidDataSource;

import junit.framework.Assert;

public class ShiroJdbcTest {
	
	private Subject subject;
	
	@Before
	public void init() throws Exception {
		DefaultSecurityManager securityManager = new DefaultSecurityManager();
		JdbcRealm realm = new JdbcRealm();
		Class<DruidDataSource> clazz = DruidDataSource.class;
		DruidDataSource dataSource = clazz.newInstance();
		dataSource.setUsername("root");
		dataSource.setPassword("");
		dataSource.setUrl("jdbc:mysql://localhost:3306/shiro");
		dataSource.setDriverClassName("com.mysql.jdbc.Driver");
		realm.setDataSource(dataSource);
		realm.setPermissionsLookupEnabled(true);
		securityManager.setRealm(realm);
        SecurityUtils.setSecurityManager(securityManager);
 
        subject = SecurityUtils.getSubject();
	}
	
	@Test
    public void testJDBCRealm() {
        UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");
        try {
            subject.login(token);
            System.out.println(subject.hasRole("role1"));
			System.out.println(subject.hasRole("role2"));
			System.out.println(subject.isPermitted("user:create"));
			System.out.println(subject.isPermitted("user:update"));
        } catch (AuthenticationException e) {
            e.printStackTrace();
        }
        Assert.assertEquals(true, subject.isAuthenticated());
        subject.logout();
    }
}

认证与权限的表名和字段可以修改吗?关于JdbcRealm的探索

是可以修改的,而且JdbcRealm为我们留了足够的空间,甚至不需要对其进行扩展。我们稍微看一下源码:

public class JdbcRealm extends AuthorizingRealm {

    protected static final String DEFAULT_AUTHENTICATION_QUERY = "select password from users where username = ?";
 
    protected static final String DEFAULT_SALTED_AUTHENTICATION_QUERY = "select password, password_salt from users where username = ?";

    protected static final String DEFAULT_USER_ROLES_QUERY = "select role_name from user_roles where username = ?";

    protected static final String DEFAULT_PERMISSIONS_QUERY = "select permission from roles_permissions where role_name = ?";

//省略
}

实际上JdbcRealm把使用的sql查询语句提取出来,第一句是用来做登录认证的,第二句是加上盐值认证,第三句是根据用户名查询角色名,第四句根据角色名查询权限。看看这些语句,现在知道为什么之前创建的表名和字段不能修改了吧,因为你改了,JdbcRealm就查不到了!

shiro作者还是比较贴心,不但把sql语句提取出来,还有专门的setter方法和getter方法,这样我们可以在配置的时候直接修改这几个语句,那即使表名和字段名改了,JdbcRealm也能找到。

举个例子,我们现在把所有表名的前面加上"t_",修改后表名变为“t_users”、“t_user_roles”、“t_roles_permissions”,另外我们把t_user_roles和t_roles_permissions的role_name字段改为role。这时候你执行上面测试的程序一定会报错。

我们需要修改一下对应的语句,这次我们使用ini文件配置JdbcRealm方式:

[main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
#dataSource.password=
jdbcRealm.dataSource=$dataSource
jdbcRealm.permissionsLookupEnabled=true
jdbcRealm.authenticationQuery=select password from t_users where username = ?
jdbcRealm.userRolesQuery=select role from t_user_roles where username = ?
jdbcRealm.permissionsQuery=select permission from t_roles_permissions where role = ?
securityManager.realms=$jdbcRealm

可以看到倒数2、3、4行把修改后的sql语句设置到JdbcRealm对应的属性中,之后再尝试测试即可。

小结

本文主要讲了shiro授权方面的基本使用,也稍微探索了一下JdbcRealm。如果权限管理比较复杂,通常的做法是自定义realm,扩展JdbcRealm并重写其doGetAuthenticationInfo和doGetAuthorizationInfo方法。自定义realm的后面再讲。使用起来也不复杂,但是想要完全驾驭的话,肯定要从源码角度去理解,这个会在后面的文章中分析。

  • 0
    点赞
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值