Shiro框架简单使用

最新推荐文章于 2023-08-02 15:25:46 发布
最新推荐文章于 2023-08-02 15:25:46 发布
阅读量1.1k 收藏 1
点赞数
分类专栏： shiro 文章标签： shiro spring java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43537484/article/details/107061971
版权

文章目录


Shiro简单使用

1. Shiro过滤器&标签简介

Shiro过滤器
过滤器简称对应的java类
anonorg.apache.shiro.web.filter.authc.AnonymousFilter
authcorg.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasicorg.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
permsorg.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
portorg.apache.shiro.web.filter.authz.PortFilter
restorg.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
rolesorg.apache.shiro.web.filter.authz.RolesAuthorizationFilter
sslorg.apache.shiro.web.filter.authz.SslFilter
userorg.apache.shiro.web.filter.authc.UserFilter
logoutorg.apache.shiro.web.filter.authc.LogoutFilter

Shiro的过滤器的作用，用于用户访问页面（URL）时进行权限控制。

Shiro的JSP标签
标签名称标签条件（满足条件，才显示标签内容）
<shiro:authenticated >登录之后
<shiro:notAuthenticated >不在登录状态时
<shiro:guest >用户在没有RememberMe时
<shiro:user >用户在RememberMe时
<shiro:hasAnyRoles name=“abc,123” >在有abc或者123角色时
<shiro:hasRole name=“abc”>拥有角色abc
<shiro:lacksRole name=“abc”>没有角色abc
<shiro:hasPermission name=“abc”>拥有权限资源abc
<shiro:lacksPermission name=“abc”>没有abc权限资源
<shiro:principal >默认显示用户名称

Shiro的标签的作用，用于对JSP页面的元素（按钮，表单，超链接等）进行权限控制。

2. Shiro登陆认证（一）使用认证过滤器

目标

在项目中使用认证过滤器拦截资源（该拦截的拦截，该放行的放行）

实现

在applicationContext-shiro.xml添加认证过滤器

<!--1.Shiro处理认证授权逻辑的对象-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!--安全管理器-->
        <property name="securityManager" ref="securityManager"/>


        <!--设置Shiro的过滤器-->
        <!--
          过滤的路径问题：
            /index.jsp ：  准确拦截/index.jsp页面
            /user/*  ： 模糊匹配，拦截user根目录下的所有资源（代表一级目录）
            /user/**  : 模糊匹配，拦截user目录下的所有资源（代表任意级目录）

          1. 认证相关的过滤器
             anon: 匿名过滤器，不用认证也可以访问该资源（必须放在authc的前面）
             authc：认证过滤器，必须认证成功才可以访问该资源，如果认证不成功，会自动跳转到login.jsp页面（可以通过loginUrl属性更新登录页面）
        -->
        <property name="filterChainDefinitions">
            <value>
                /css/**=anon
                /img/**=anon
                /make/**=anon
                /plugins/**=anon
                /login.do=anon
                /**=authc
            </value>
        </property>

        <!--修改默认登录页面-->
        <property name="loginUrl" value="/login.jsp"/>

    </bean>

anon：代表不认证也可以访问（匿名访问），通常对静态资源进行放行

authc：代表必须通过认证才可以访问，通常对动态资源（controller，jsp页面）进行拦截，如果用户没有认证，Shiro会自动跳转到默认登录页面login.jsp页面，可以通过以下配置更改：

<property name="loginUrl" value="/admin_login.jsp"/>
注意事项： /login.do因为是登录请求，必须使用anon过滤器放行！！！否则无法登录啦！

3. Shiro登陆认证（二）完成登录认证（*）

目标

实现登陆认证。

  1. 修改LoginController，通过shiro实现登陆认证
  2. 编写AuthRealm，实现登陆认证
  3. 测试

在这里插入图片描述
1.修改LoginController，通过shiro实现登陆认证

/**
     * 登录方法
     *  1)URL: http://localhost:8080/login.do
     *  2)参数：email=eric&password=123
     *  3）返回：/WEB-INF/pages/home/main.jsp
     */
    @RequestMapping("/login")
    public String login(String email,String password){
        //1.判断是否为空
        if(StringUtils.isEmpty(email) || StringUtils.isEmpty(password)){
            request.setAttribute("error","邮箱和密码不能为空");
            //手动转发到login.jsp页面
            return "forward:/login.jsp";
        }

        //使用Shiro的登录认证逻辑

        //1.获取Subject对象
        Subject subject = SecurityUtils.getSubject();

        //2.封装需要认证的信息（用户名和密码）
        UsernamePasswordToken token = new UsernamePasswordToken(email,password);

        //3.调用Subject的login方法进行认证
        //4.判断login方法有无异常，有异常代表认证失败，无异常代表认证成功
        try {
            subject.login(token);

            //无异常代表认证成功

            //5.从Shiro的Subject中获取登录用户对象:  subject.getPrincipal()
            User loginUser = (User)subject.getPrincipal();

            //把登录用户对象存入session域 （注意：这里存入的loginUser对象，不是给Shiro使用的，是给我们自己业务使用的）
            session.setAttribute("loginUser",loginUser);

            //查询当前用户拥有的菜单（模块）
            List<Module> menuList = moduleService.findModuleByUser(loginUser);
            //菜单必须存入session域
            session.setAttribute("menus",menuList);

            //跳转到主页
            return "home/main";
        } catch (UnknownAccountException e) {  //UnknownAccountException: 该异常代表用户名不存在
            request.setAttribute("error","Shrio：用户名不存在");
            return "forward:/login.jsp";
        } catch (IncorrectCredentialsException e) {  //IncorrectCredentialsException: 该异常代表密码错误
            request.setAttribute("error","Shrio：密码输入有误");
            return "forward:/login.jsp";
        } catch (Exception e) {  //
            request.setAttribute("error","Shrio：服务器错误");
            return "forward:/login.jsp";
        }
        /*//2.判断email是否存在
        User loginUser = userService.findByEmail(email);

        //3 email不存在，提示"用户名不存在"
        if(loginUser==null){
            request.setAttribute("error","用户名不存在");
            //手动转发到login.jsp页面
            return "forward:/login.jsp";
        }

        //4 email存在，继续判断password是否正确
        if(loginUser.getPassword().equals(password)){
            //5. password正确，登录成功，保存用户数据到session域中，跳转到主页
            session.setAttribute("loginUser",loginUser);

            //查询当前用户拥有的菜单（模块）
            List<Module> menuList = moduleService.findModuleByUser(loginUser);
            //去除重复元素
            removeDuplicate(menuList);
            //菜单必须存入session域
            session.setAttribute("menus",menuList);


            // 路径： /WEB-INF/pages/home/main.jsp
            return "home/main";
        }else{
            //6.password不正确，提示"密码错误"
            request.setAttribute("error","密码错误");
            //手动转发到login.jsp页面
            return "forward:/login.jsp";
        }*/


    }

2.编写AuthRealm，实现登陆认证

/**
 * 自定义Realm
 */
public class AuthRealm extends AuthorizingRealm{
    @Autowired
    private UserService userService;

    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("执行授权方法...");
        return null;
    }

    //认证 (login方法固定执行doGetAuthenticationInfo方法)
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        //System.out.println("执行认证方法...");

        //1.判断用户名是否存在
        UsernamePasswordToken token = (UsernamePasswordToken)authenticationToken;
        String email = token.getUsername();

        User loginUser = userService.findByEmail(email);
        if(loginUser==null){
            //用户名不存在
            //我们只需要return null即可，Shiro底层判断为null则抛出UnKnowAccountException异常
            return null;
        }

        //2.返回数据库保存密码给Shiro，让Shiro判断密码是否正确
        /**
         * Shiro底层获取SimpleAuthenticationInfo的参数，例如获取password判断和用户输入的密码是否一致
         *    1）如果密码不一致，抛出IncorrectCredentialsException异常
         *    2）如果密码一致， 把principal存入session域
          */    

        //SimpleAuthenticationInfo： 封装认证数据对象
        /**
         * 参数一： principal  登录用户对象，用于Subject.getPrincipal()方法获取
         * 参数二： password   数据库的密码
         * 参数三： realm的别名， 在多个Realm的情况下使用，用于区分用户表的。只有一张用户表不需要别名
         */
        return new SimpleAuthenticationInfo(loginUser,loginUser.getPassword(),"");
    }
}
总结
  1. Shiro登录认证的流程是怎样的？

​ LoginController的login方法调用Subject.login()

​ AuthRealm的认证方法，编写判断用户名和返回数据库密码的逻辑

  1. 请简单描述Realm的认证方法（doGetAuthenticationInfo）代码流程？

​ 1）获取用户输入的信息

​ 2）判断用户名是否存在

​ 3）返回SimpleAuthenticationInfo，保存数据库密码和用户登录信息等

4. Shiro登陆认证（三）凭证匹配器-普通加密
需求

目前对用户输入的密码，我们直接输入原文密码。这样不安全，现在我们需要对用户输入的密码md5加密 及 md5加盐加密。

加密方式：

1）普通加密（md5,sha1,sha2等）

2）加盐加密（推荐使用）

步骤

1）对数据库密码进行md5加密 (略)

2）在applicationContext-shiro.xml，添加加密认证配置

3）测试

1.略
2.在applicationContext-shiro.xml，添加加密认证配置

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">

    <!--1.Shiro处理认证授权逻辑的对象-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!--安全管理器-->
        <property name="securityManager" ref="securityManager"/>


        <!--设置Shiro的过滤器-->

        <!--
          过滤的路径问题：
            /index.jsp ：  准确拦截/index.jsp页面
            /user/*  ： 模糊匹配，拦截user根目录下的所有资源（代表一级目录）
            /user/**  : 模糊匹配，拦截user目录下的所有资源（代表任意级目录）

          1. 认证相关的过滤器
             anon: 匿名过滤器，不用认证也可以访问该资源（必须放在authc的前面）
             authc：认证过滤器，必须认证成功才可以访问该资源，如果认证不成功，会自动跳转到login.jsp页面（可以通过loginUrl属性更新登录页面）
        -->
        <property name="filterChainDefinitions">
            <value>
                /css/**=anon
                /img/**=anon
                /make/**=anon
                /plugins/**=anon
                /login.do=anon
                /**=authc
            </value>
        </property>

        <!--修改默认登录页面-->
        <property name="loginUrl" value="/login.jsp"/>

    </bean>

    <!--2.配置安全管理器-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!--配置Realm-->
        <property name="realm" ref="myRealm"/>
    </bean>

    <!--3.配置Realm-->
    <bean id="myRealm" class="cn.itcast.web.shiro.AuthRealm">
        <!--配置凭证匹配器-->
        <property name="credentialsMatcher" ref="credentialsMatcher"/>
    </bean>

    <!--创建Shiro自带的凭证匹配器-->
    <bean id="credentialsMatcher" class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
        <!--指定需要加密的算法名称-->
        <property name="hashAlgorithmName" value="md5"/>
    </bean>
</beans>
总结

请简单说出Shiro加密判断的执行流程

​ Subject.login(token) (未加密数据) -> AuthRealm的认证方法->返回数据库密码->先把token密码使用算法加密，再和数据库的密码匹配。

5. Shiro登陆认证（四）凭证匹配器-加盐加密

需求

如果只是单纯使用md5或sha1进行加密，容易被人利用"彩虹表"撞库来破解密码，导致密码不安全！这时可以进行加盐加密来解决。

什么是加盐加密

加密流程: 使用md5算法加密1次 + 盐（变量，每个用户不同的）= 2次使用md5加密

步骤

1）编写代码对密码加盐加密

2）编写自定义凭证匹配器

3）在applicationContext-shiro.xml，添加自定义凭证匹配器

4）测试

加盐加密实现

1）编写代码对密码加盐加密

/**
 * 加盐加密的工具
 */
public class Demo {

    public static void main(String[] args) {
        //1.原密码
        String password = "123";

        //2.盐
        String salt = "lw@export.com";

        //3.加盐加密
        /**
         * 参数一：原密码
         * 参数二：盐
         * 参数三（可选）：加密次数，默认1次
         */
        Md5Hash md5Hash = new Md5Hash(password,salt);

        System.out.println(md5Hash.toString());
    }

}

2）编写自定义凭证匹配器

/**
 * 自定义凭证匹配器
 *  加盐加密的匹配
 */
public class CustomCredentialsMatcher extends SimpleCredentialsMatcher{

    /**
     * 完成密码判断的逻辑
     * @param token  包含了用户输入的密码
     * @param info   包含了数据库的密码
     * @return 密码判断结果
     *       true： 代表数据库的密码和用户输入的密码一致的
     *       false：代表数据库的密码和用户输入的密码不一致的
     */
    @Override
    public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {

        //1.获取用户输入的密码
        UsernamePasswordToken userToken = (UsernamePasswordToken)token;
        String userPassword = new String(userToken.getPassword()); // ['1','2','3']

        //获取用户邮箱
        String email = userToken.getUsername();

        //2.对用户输入的密码进行加盐加密
        Md5Hash md5Hash = new Md5Hash(userPassword,email);
        String encodePwd = md5Hash.toString();

        //3.获取数据库的密码
        String dbPwd = (String)info.getCredentials();

        //4.判断数据库的密码和第二步产生的密码是否一致，一致返回true，不一致返回false
        return dbPwd.equals(encodePwd);
    }
}

3）在applicationContext-shiro.xml，添加自定义凭证匹配器

 <?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">

    <!--1.Shiro处理认证授权逻辑的对象-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!--安全管理器-->
        <property name="securityManager" ref="securityManager"/>


        <!--设置Shiro的过滤器-->

        <!--  过滤的路径问题：
            /index.jsp ：  准确拦截/index.jsp页面
            /user/*  ： 模糊匹配，拦截user根目录下的所有资源（代表一级目录）
            /user/**  : 模糊匹配，拦截user目录下的所有资源（代表任意级目录

          1. 认证相关的过滤器
             anon: 匿名过滤器，不用认证也可以访问该资源（必须放在authc的前面）
             authc：认证过滤器，必须认证成功才可以访问该资源，如果认证不成功，会自动跳转到login.jsp页面（可以通过loginUrl属性更新登录页面-->
         
        <property name="filterChainDefinitions">
            <value>
                /css/**=anon
                /img/**=anon
                /make/**=anon
                /plugins/**=anon
                /login.do=anon
                /**=authc
            </value>
        </property>

        <!--修改默认登录页面-->
        <property name="loginUrl" value="/login.jsp"/>

    </bean>

    <!--2.配置安全管理器-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!--配置Realm-->
        <property name="realm" ref="myRealm"/>
    </bean>

    <!--3.配置Realm-->
    <bean id="myRealm" class="cn.itcast.web.shiro.AuthRealm">
        <!--配置凭证匹配器-->
        <property name="credentialsMatcher" ref="credentialsMatcher"/>
    </bean>

    <!--创建Shiro自带的凭证匹配器-->
    <!--<bean id="credentialsMatcher" class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
        &lt;!&ndash;指定需要加密的算法名称&ndash;&gt;
        <property name="hashAlgorithmName" value="sha1"/>
    </bean>-->
    
    <!--创建自定义凭证匹配器-->
    <bean id="credentialsMatcher" class="cn.itcast.web.shiro.CustomCredentialsMatcher"/>
</beans>
总结

1）数据库密码更新为加盐加密的密码

2）自定义凭证匹配器类，编写判断密码逻辑

3）applicationContextx-shiro.xml添加自定义凭证匹配器

6. Shiro登陆认证（五）用户添加时密码加密

注意：添加用户时候，需要对用户输入的密码加密、加盐，这样就可以使用添加的用户登陆了。
UserServiceImpl添加加密逻辑

 @Override
    public void save(User user) {
        //生成主键
        user.setId(UUID.randomUUID().toString());
        
        //对密码加盐加密
        Md5Hash md5Hash = new Md5Hash(user.getPassword(),user.getEmail());
        user.setPassword(md5Hash.toString());
        
        userDao.save(user);
    }

7. Shiro登录注销

需求

如果我们项目引入了Shiro，那么登录注销也要按照Shiro的方式来注销。

实现

Shiro的登录注销代码实现：

/**
     * 登录注销
     *  1）http://localhost:8080/logout.do
     *  2)参数：无
     *  3）返回：/login.jsp
     */
    @RequestMapping("/logout")
    public String logout(){
        //删除session的登录数
        session.removeAttribute("loginUser");
        session.removeAttribute("menus");

        //Shiro登录注销（底层：删除之前Shiro存入的session的key）
        Subject subject = SecurityUtils.getSubject();
        subject.logout();

        return "redirect:/login.jsp";
    }

8. Shiro授权(一)介绍

目标
  1. 什么是授权，如何实现授权？
  2. shiro授权校验有几种方式
什么是授权，如何实现授权？

  1. 授权，也叫做授权访问资源 或者说 校验是否可以访问资源

  2. 登陆认证后，系统校验用户是否有权限访问资源，就叫授权。

  3. 如何实现授权？分为以下两个步骤

    1. 登陆认证成功后，获取用户的权限 （获取权限）
    2. 访问资源时候，进行授权校验：用访问资源需要的权限去用户权限列表查找，如果存在，则有权限访问资源。（权限拦截）
Shiro授权校验有几种方式

shiro提供了四种方式实现权限校验：

1） 硬编码方式（拦截方法）（非Web应用，Web应用）

Subject subject = SecurityUtils.getSubject();
subject.checkPermission("部门管理");

2） 过滤器（XML）配置方式（拦截url）（Web应用）

/system/user/list.do = perms["用户管理"]

3） 注解方式（拦截方法）（Web应用）

@RequiresPermissions(“”)

4） shiro提供的JSP标签（（拦截页面元素：按钮，表格等））（Web应用）

<shiro:hasPermission name="用户管理">
    <a href="#">用户管理</a>
</shiro:hasPermission>
总结

什么是授权？授权有哪两步？

授权：用户认证成功后，进一步对访问资源进行权限控制

授权的两步：

1）获取用户权限 （买票）

2）校验用户权限（验票）

9. Shiro授权(二)完成用户授权方法

目标

实现自定义realm的doGetAuthorizationInfo()方法，返回用户已经具有的权限。

实现
 //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        //System.out.println("执行授权方法...");

        //从Subject获取当前登录用户
        Subject subject = SecurityUtils.getSubject();
        User loginUser = (User)subject.getPrincipal();
		//1、获取当前登录用户拥有的权限
        List<Module> moduleList = moduleService.findModuleByUser(loginUser);

        //2、把当前登录用户的权限告诉Shiro框架
        //2.1 创建授权对象
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //2.2 把模块存入授权对象
        if(moduleList!=null && moduleList.size()>0){
            for(Module module:moduleList){
                if(!StringUtils.isEmpty(module.getName())) {
                    //往授权对象存入授权信息（授权信息存入什么字符串？ 字符串必须唯一的）
                    info.addStringPermission(module.getName());
                }
            }

        }
        return info;
    }
总结

Shiro的授权第一步：获取用户权限的逻辑

1）查询当前用户拥有的权限(模块)

2）把所有权限存入AuthorizationInfo对象（注意：存入的只是权限标记即可，标记必须唯一）

3）返回AuthorizationInfo对象对象

10. Shiro授权(三)硬编码方式实现授权验证（了解）

问题

我们以老王用户登录，可以看到老王拥有”用户管理“的菜单，他可以访问”用户“。但是老王其实没有”企业管理“的菜单，但是通过浏览器URL依然可以访问到”企业管理"内容。

思考

这种情况如何解决？ 只有一种办法： 后台做授权验证，当用户有权限才可以访问，否则不能访问.

硬编码方式授权验证

只需要在控制器中添加如下2行代码即可：
在这里插入图片描述
在这里插入图片描述
测试结果 ：报错，没有权限访问。

总结

Shiro硬编码方式的核心代码是什么？

在需要验证的方法的前面加上Subject.checkPermissions(“权限标记”) 标记取决于存入时的内容

11. Shiro授权(四)XML配置方式实现授权验证（推荐）

需求
  1. 通过XML配饰方式实现需求： 有用户管理的权限，才可以访问； 否则拒绝访问。

Shiro授权过滤器实现授权验证（XML方式）
在applicationContext-shiro中
在这里插入图片描述

<property name="filterChainDefinitions">
            <value>
                /css/**=anon
                /img/**=anon
                /make/**=anon
                /plugins/**=anon
                /login.do=anon
                <!--左边为访问的资源  右边为需要的权限-->
                /system/user/list.do=perms["用户管理"]
                /company/list.do=perms["企业管理"]
                /**=authc
            </value>
        </property>
总结

Shiro的哪个过滤器可以实现授权验证？

perms 格式：/system/user/list.do = perms[“用户管理”]

12. Shiro授权(五)注解方式实现授权验证（了解）

需求
  1. 通过注解配置方式实现需求： 有用户管理的权限，才可以访问； 否则拒绝访问。
注解方式实现授权验证

现在通过注解实现权限控制，分为2步骤：

  1. 在applicationContext-shiro.xml中开启shiro注解支持
  2. 开启Aop自动代理（已经完成）
  3. 在controller中使用@RequiresPermissions(“”)注解

实现：

  1. 在applicationContext-shiro.xml中开启shiro注解支持

    添加如下配置：

<!--====开启Shiro的注解====-->
    <!--
        Shiro注解借助了Spring的AOP来实现授权校验
    -->
    <bean id="lifecycleBeanPostProcessor"
          class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
          depends-on="lifecycleBeanPostProcessor"/>
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>

2.开启Aop自动代理（已经完成）

<!--6. 开启Aop自动代理-->
<aop:aspectj-autoproxy/>

3.在controller中使用@RequiresPermissions(“”)注解
在这里插入图片描述

13. Shiro授权(六)Shiro标签实现授权验证

编写test-auth.jsp

在shiro-test.jsp中，通过shiro标签实现权限控制

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>测试Shiro的jsp标签</title>
</head>
<body>

<shiro:hasPermission name="企业管理">
<a href="">企业管理</a>
</shiro:hasPermission>

<hr/>

<shiro:hasPermission name="用户管理">
<a href="">用户管理</a>
</shiro:hasPermission>

</body>
</html>
测试

以老王（企业管理员）登录就只能看到用户管理，以张三（Saas管理员）登录就只能看到企业管理

14. Shiro流程总结

关键代码
认证： subject.login(token);

授权： subject.checkPermission("");

认证和授权流程
在这里插入图片描述

15. 总结

1）Shiro认证（重点）

​ 1.1 配置认证过滤器

​ 1.2 编写认证代码逻辑

​ 1.3 密码加密

2）Shiro授权

​ 2.1 获取用户的权限

​ 2.2 掌握四种权限校验方法（XML配置，JSP标签）

上课课件

神经病啊我不要面子啊
关注
专栏目录
Shiro框架详解
qq_39756007的博客
02-21 826
Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在 JavaSE 环境，也可以用在 JavaEE 环境。Shiro 可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等。记住一点，Shiro 不会去维护用户、维护权限；这些需要我们自己去设计 / 提供；然后通过相应的接口注入给 Shiro 即可。
Shiro权限框架 01（shiro框架入门）
m0_67094505的博客
08-24 460
Shiro是Apache的一个开源框架，是一个权限管理的框架，实现用户认证、用户授权。​ 权限管理，一般指根据系统设置的安全策略或者安全规则，用户可以访问而且只能访问自己被授权的资源，不多不少。权限管理几乎出现在任何系统里面，只要有用户和密码的系统。Spring中有Spring security（原名Acegi），是一个权限框架，它和Spring依赖过于紧密，没有Shiro使用简单。Shiro不依赖于Spring，Shiro不仅可以实现Web应用的权限管理，还可以实现c/s系统。
shiro框架使用简易教程
03-26
shiro框架是一个安全框架，在web开发应用中使用比较多验证和权限管理，这个shiro框架是开源的，使用简单，可以使得开发难度大大降低
Shiro框架简单介绍及使用
凡是过往，皆为序章
03-26 1125
目录 一、架构 二、实现Realm （1）缓存机制 （2）散列算法与加密算法 （3）用户注册 （4）匹配 （5）获取用户的角色和权限信息 （6）会话 三、与SpringMVC集成 （1）配置前端过滤器 四、总结 五、推荐 本篇内容大多总结自张开涛的《跟我学Shiro》原文地址：http://jinnianshilongnian.iteye.com/blog/2018936...
shiro框架的使用流程
weixin_47847063的博客
03-08 1171
如果登录成功，则输出"登录成功！否则根据不同的异常类型输出相应的错误消息。在这里，我们直接将用户名和密码固定为"admin"和"123456"，实际应用中需要从数据库或其他数据源中获取。总的来说，Shiro框架的使用主要包括引入Shiro依赖、配置Shiro环境、编写Realm对象、实现认证和授权操作、通过SecurityManager对象进行访问控制，以及实现会话管理等步骤。总的来说，Shiro框架的认证流程主要包括提交认证请求、创建Token对象、执行认证操作、认证成功处理和认证失败处理等步骤。
安全框架——Shiro使用教程
weixin_38938338的博客
12-09 456
文章目录1. 下载2. 单机测试3. SSM整合教程4. SpringBoot整合教程附录1：新建Spring工程附录2：新建SpringBoot工程 1. 下载 官网地址 选择Source Code Distribution，下载，解压 2. 单机测试 需要的jar包 shiro-all.jar log4j.jar slf4j-api.jar slf4j-log4j12.jar 官方shiro.ini文件：\samples\quickstart\src\main\resources\shiro
shiro框架的使用
weixin_41588751的博客
01-14 230
1.什么是权限管理? 基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。 权限管理包括用户身份认证和授权两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。 2.身份认证,就是判断一个用户是否为合法用户的处理过程.醉...
1.初始shiro框架、简单的shiro框架使用.docx
09-19
Shiro 框架简介和基本使用 Shiro 是一个开源的 Java 安全框架，由 Apache 软件基金会开发和维护。它提供了强大的身份验证、授权、加密和会话管理功能，帮助开发者快速构建安全的应用程序。下面是 Shiro 框架的基本...
shiro框架教程
07-17
Shiro框架的设计理念是简单易用，它提供了易于理解和操作的API，使其在Java项目中广泛应用。与Spring Security相比，Shiro虽然功能相对简单，但它更加轻量级，适用于不需要过于复杂安全功能的应用。 Shiro框架的...
1.shiro框架的使用
qq_40674333的博客
08-16 202
1.shiro4中pom.xml中进行相应的配置 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-cache</artifactId> </dependency> <dependency> <groupId&g
Shiro框架的用法
yzx的博客
08-08 252
一、创建一个Maven项目 二、在pom.xml文件中加入依赖 pom.xml代码： <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.
shiro权限框架的使用
weixin_43951638的博客
08-05 143
shiro依赖 <shiro.version>1.2.2</shiro.version> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-web</artifactId> <version>${shiro.version}</version> </dependen
shiro安全框架的使用
weixin_44563323的博客
06-19 209
先导入shiro的以及thymeleaf跟shiro整合的依赖 <dependencies> <!-- https://mvnrepository.com/artifact/com.github.theborakompanioni/thymeleaf-extras-shiro --> <dependency> <groupId>com.github.theborakompanioni</groupId> <ar
Shiro安全框架的使用
zyinger的博客
04-12 365
Shiro安全框架的使用（记录） 框架介绍 Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码学和会话管理。 使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序，从最小的移动应用程序到最大的网络和企业应用程序。 Shrio的主要功能： Authentication：用户认证（登录） Authorization：权限控制 （授权） Session...
Shiro框架基本使用
最新发布
weixin_51722520的博客
08-02 424
SpringBoot+mybatis+MySQL+Shiro框架整合
shiro框架使用（认证与授权）
qq_41566772的博客
03-03 151
1.引入shiro框架相关的jar &lt;!-- 引入shiro框架的依赖 --&gt; &lt;dependency&gt; &lt;groupId&gt;org.apache.shiro&lt;/groupId&gt; &lt;artifactId&gt;shiro-all&lt;/artifactId&gt; &lt;versio...
Shiro框架的配置和简单使用
qq_36983822的博客
01-02 331
1.配置shiro框架 1.1 导入shiro需要依赖的jar包 我是使用maven项目直接加载的。 在pom.xml文件中加入如下依赖： &lt;dependency&gt; &lt;groupId&gt;org.apache.shiro&lt;/groupId&gt; &lt;artifactId&gt;shiro-core&lt;/artif...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值