Spring Boot 集成Shiro的多realm实现以及shiro基本入门

情景

我的项目中有六个用户角色（学校管理员，学生等），需要进行分别登陆。如果在一个realm中，对controller封装好的Token进行Service验证，需要在此realm中注入六个数据库操作对象，然后写一堆if语句来判断应该使用那个Service服务，然后再在验证方法（doGetAuthorizationInfo）中写一堆if来进行分别授权，这样写不仅会让代码可读性会非常低而且很难后期维护修改（刚写完的时候只有上帝和你能看懂你写的是什么，一个月之后你写的是什么就只有上帝能看懂了）。
所以一定要配置多个realm来分别进行认证授权操作。shiro有对多个realm的处理，当配置了多个Realm时，shiro会用自带的org.apache.shiro.authc.pam.ModularRealmAuthenticator类的doAuthenticate方法来进行realm判断，源码：

    protected AuthenticationInfo doAuthenticate(AuthenticationToken authenticationToken) throws AuthenticationException {
        assertRealmsConfigured();
        Collection<Realm> realms = getRealms();
        if (realms.size() == 1) {
            return doSingleRealmAuthentication(realms.iterator().next(), authenticationToken);
        } else {
            return doMultiRealmAuthentication(realms, authenticationToken);
        }
    }

assertRealmsConfigured();的作用是验证realm列表是否为空，如果一个realm也没有则会抛出IllegalStateException异常（爆红：Configuration error: No realms have been configured! One or more realms must be present to execute an authentication attempt.）
当realm只有一个时直接返回，当realm有多个时返回所有的realm。而我们要做的就是写多个realm后重写ModularRealmAuthenticator下的doAuthenticate方法，使它能满足我们的项目需求。
那么改怎么重写ModularRealmAuthenticator下的doAuthenticate方法，使它能满足我们的项目需求呢？这就需要分析我们使用shiro的使用方法了。

shiro的使用

1.Controller层中，获取当前用户后将用户名和密码封装UsernamePasswordToken对象，然后调用Subject中的登陆方法subject.login(UsernamePasswordToken)

    @RequestMapping("/user/login")
	@ResponseBody
    public String Login(String userName,String password){
        //获取当前用户  subject
        Subject subject = SecurityUtils.getSubject();
        //封装用户的登陆数据
        UsernamePasswordToken token = 
        new UsernamePasswordToken(userName, password);
        try{
            subject.login(token);//执行登陆方法
            return "登陆成功";
        }catch (UnknownAccountException e){//用户名不存在
            model.addAttribute("msg","用户名不存在");
            return "用户名不存在";
        }catch (IncorrectCredentialsException e){//密码错误
            model.addAttribute("msg","密码错误");
            return "密码错误";
        }
    }

(为了测试方便，我用了@ResponseBody返回字符串)
2.完善自定义Realm类，继承于AuthorizingRealm，主要实现doGetAuthorizationInfo和doGetAuthenticationInfo方法
（需要实现认证和授权方法，在这里方便测试主要是认证）

public class StudentRealm extends AuthorizingRealm {
    @Resource
    private StudentsService studentsService;
    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        return null;
    }

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("Shiro=========Student认证");
        UserToken userToken = (UserToken) token;
        Students students = studentsService.queryByNum(userToken.getUsername());
        //账号不存在
        if (students == null) {
            System.out.println("学生不存在");
            //向上层提交UnknownAccountException异常，在controller层处理
            throw new UnknownAccountException();
        }
        //密码认证，shiro来做，可以自定义加密方式
        return new SimpleAuthenticationInfo("", students.getPassword(), USER_LOGIN_TYPE);
    }
}

3.配置shiro，将realm配置进shiro（很多教程是使用xml配置或者ini配置，在这里用java代码配置，功能都是一样的，看个人习惯了）

@Configuration
public class ShiroConfig {
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultWebSecurityManager) {
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultWebSecurityManager);
        return bean;

    }

    //DefaultWebSecurityManager  默认web安全管理器
    @Bean(name = "securityManager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //关联realm
        securityManager.setRealm(userRealm);
        return securityManager;
    }
    //创建自定义 realm
    @Bean
    public UserRealm userRealm() {
        return new UserRealm();
    }
}

记得加@Configuration注解！！！！！！！

经过以上三步，可以看出shiro的简略工作流程（非常简略）就是，在web 启动阶段，读取
@Configuration注解将自定义的ream配置进默认web安全管理器（DefaultWebSecurityManager）然后将DefaultWebSecurityManager与ShiroFilterFactoryBean相关联。
当用户登陆时，从前端拿到username和password，封装好Token后，进入realm进行认证和授权，而realm就来自于刚才的shiro的DefaultWebSecurityManager配置

多realm实现原理

根据上面的shiro简略流程可知，shiro配置中写入多个realm后，在controller提交token时，只要多携带一个参数，用来进行org.apache.shiro.authc.pam.ModularRealmAuthenticator类的doAuthenticate（重写后）的验证即可明确应该用那个realm。那么，我们需要重写org.apache.shiro.authc.UsernamePasswordToken（令其携带身份参数用于选择realm）和org.apache.shiro.authc.pam.ModularRealmAuthenticator（令其根据token中的身份参数来进行选择realm）即可。

多realm实现具体操作

1.写多个自定义的realm

public class AdminRealm extends AuthorizingRealm {

    @Resource
    private AdminService adminService;

    private static final String USER_LOGIN_TYPE = UserType.AdminRealm;

    @Override
    public String getName() {
        return UserType.AdminRealm;
    }

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        return null;
    }

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("Shiro=========Admin认证");
        UserToken userToken = (UserToken) token;
        Admin admin = adminService.queryById(userToken.getUsername());
        if(admin == null){
            System.out.println("管理员不存在");
            throw new UnknownAccountException();
        }
        return new SimpleAuthenticationInfo("", admin.getAdminpassword(), USER_LOGIN_TYPE);
    }
}

2.创建静态变量类（用于realm选择）

public class UserType {
    //实习学校管理员
    public static final String SchoolAdminRealm = "schooladminrealm";

    //学生
    public static final String StudentRealm ="studentrealm";

    //管理员
    public static final String AdminRealm ="adminrealm_1";

    //导员
    public static final String InstructorRealm ="instructorrealm";

    //实习带队老师
    public static final String UniversityteacherRealm ="universityteacherrealm";

    //实习指导老师
    public static final String SchoolTeacherRealm ="schoolteacherrealm";
}

3.重写UsernamePasswordToken,令其可以携带身份参数

@Component
public class UserModularRealmAuthenticator extends ModularRealmAuthenticator {

    @Override
    protected AuthenticationInfo doAuthenticate(AuthenticationToken authenticationToken) {
        // 判断getRealms()是否返回为空,ModularRealmAuthenticator 自带
        assertRealmsConfigured();
        // 强制转换回自定义的UserToken
        UserToken token = (UserToken) authenticationToken;
        String loginType = token.getLoginType();
        Collection<Realm> realms = getRealms();
            for (Realm realm : realms) {
                System.out.println(realm.getName().toLowerCase());
            if (realm.getName().toLowerCase().contains(loginType)){
            //找到登录类型对应的指定Realm
                return doSingleRealmAuthentication(realm, token);
            }
        }
        //没找到正确的realm的异常处理
        String msg = "Configuration error: Didn't find the right realm";
        throw new IllegalStateException(msg);
    }
}

4.shiro的配置中写入自定义的realm，还有其它配置

@Configuration
public class ShiroConfig {

    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultWebSecurityManager) {
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultWebSecurityManager);
        return bean;
    }

    //DefaultWebSecurityManager
    @Bean(name = "securityManager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(
            @Qualifier("schoolAdminRealm") SchoolAdminRealm schoolAdminRealm,
            @Qualifier("studentRealm") StudentRealm studentRealm,
            @Qualifier("adminRealm") AdminRealm adminRealm,
            @Qualifier("schoolTeacherRealm") SchoolTeacherRealm schoolTeacherRealm,
            @Qualifier("instructorRealm") InstructorRealm instructorRealm,
            @Qualifier("universityteacherRealm") UniversityteacherRealm universityteacherRealm,
            @Qualifier("userModularRealmAuthenticator") UserModularRealmAuthenticator userModularRealmAuthenticator
    ) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setAuthenticator(userModularRealmAuthenticator);
        /**关联realm
        *securityManager.setRealm() 是配置单个realm，不可用它配置多个realm
        *securityManager.setRealms()配置多个realm， 
        *List<Realm> realms可以直接被set进去
        */
        List<Realm> realms = new ArrayList<Realm>();
        realms.add(schoolAdminRealm);
        realms.add(studentRealm);
        realms.add(adminRealm);
        realms.add(schoolTeacherRealm);
        realms.add(instructorRealm);
        realms.add(universityteacherRealm);
        securityManager.setRealms(realms);
        System.out.println(securityManager.getRealms().toString());
        return securityManager;
    }


    //实习学校管理员
    @Bean(name = "schoolAdminRealm")
    public SchoolAdminRealm SchoolAdminRealm() {
        return new SchoolAdminRealm();
    }

    //学生
    @Bean(name = "studentRealm")
    public StudentRealm StudentRealm() {
        return new StudentRealm();
    }

    //管理员
    @Bean(name = "adminRealm")
    public AdminRealm AdminRealm() {
        return new AdminRealm();
    }

    //导员
    @Bean(name = "instructorRealm")
    public InstructorRealm InstructorRealm() {
        return new InstructorRealm();
    }

    //实习带队老师
    @Bean(name = "universityteacherRealm")
    public UniversityteacherRealm UniversityteacherRealm() {
        return new UniversityteacherRealm();
    }

    //实习指导老师
    @Bean(name = "schoolTeacherRealm")
    public SchoolTeacherRealm SchoolTeacherRealm() {
        return new SchoolTeacherRealm();
    }

}

5.在controller中使用重写后的UsernamePasswordToken(UserToken)即可

    //管理员登陆
    @RequestMapping(value = "/AdminLogin", produces = "text/html;charset=UTF-8")
    @ResponseBody//为了测试方便，返回字符串
    public String AdminLogin(
            @RequestParam(value = "username") String username,
            @RequestParam(value = "password") String password) {
        //获取当前用户  subject
        Subject subject = SecurityUtils.getSubject();
        //封装用户的登陆数据
        UserToken token = new UserToken(username, Md5.getMd5(password), USER_LOGIN_TYPE);
        try {
            System.out.println("AdminLogin");
            subject.login(token);//执行登陆方法
            return null;
        } catch (UnknownAccountException e) {//用户名不存在
            System.out.println("用户名错误");
            return null;
        } catch (IncorrectCredentialsException e) {//密码错误
            System.out.println("密码错误");
            return null;
        }

参考文章