springboot 整合shiro实现权限控制-枫桥

最新推荐文章于 2024-06-18 10:17:47 发布
最新推荐文章于 2024-06-18 10:17:47 发布
阅读量655 收藏 3
点赞数 1
分类专栏： java 文章标签： 数据库 shiro java spring boot spring
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45612889/article/details/108326226
版权

springboot 整合shiro实现权限控制-枫桥

shiro

Shiro是Apache旗下的一个开源项目，它是一个非常易用的安全框架，提供了包括认证、授权、加密、会话管理等功能，与Spring Security一样属基于权限的安全框架，但是与Spring Security 相比，Shiro使用了比较简单易懂易于使用的授权方式。Shiro属于轻量级框架，相对于Spring Security简单很多，并没有security那么复杂。

以下是我自己的学习心得

在这里说一下，b站的【狂神说Java】SpringBoot整合Shiro框架讲解的非常好，大家可以去看一下

1、shiro的优点

  1. 一个功能强大、灵活的、优秀的、开源的安全框架。
  2. 可以胜任身份验证、授权、企业会话管理和加密等工作。
  3. 相比 Spring Security，入门门槛低，更易于使用和理解

2、主要的功能有

  • Subject：主体，一般指用户。 （全局静态）
  • SecurityManager：安全管理器，管理所有Subject，可以配合内部安全组件。
  • Realms：用于进行权限信息的验证，一般需要自己实现。 （自定义权限认证和授权，可以结合redis或者数据库使用）

（更多关于shiro是资料在这里就不详细展示了）

springboot整合shiro

首先先创建springboot项目，此处不过多描述。

1、目录结构

2、依赖管理 pom.xml

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>com.fengqiao</groupId>
    <artifactId>fengqiao-login</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <packaging>jar</packaging>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.2.5.RELEASE</version>
        <relativePath/>
    </parent>
    <properties>
        <shiro.version>1.5.0</shiro.version>
        <java.version>1.8</java.version>
        <nekohtml.version>1.9.22</nekohtml.version>
    </properties>

    <dependencies>
<!--        spring boot start -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency><!--页面模板依赖-->
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <!--        spring boot end -->

        <!--        lombok -->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <optional>true</optional>
        </dependency>
        <!--        非严格模式thymeleaf -->
        <dependency>
            <groupId>net.sourceforge.nekohtml</groupId>
            <artifactId>nekohtml</artifactId>
            <version>${nekohtml.version}</version>
        </dependency>
        <!-- shiro -->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>${shiro.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>${shiro.version}</version>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
                <configuration>
                    <mainClass>com.fengqiao.myLogin.MyLoginApplication</mainClass>
                </configuration>
            </plugin>
        </plugins>

        <resources>
            <resource>
                <directory>src/main/java</directory>
                <excludes>
                    <exclude>**/*.java</exclude>
                </excludes>
            </resource>
            <resource>
                <directory>src/main/resources</directory>
            </resource>
        </resources>
    </build>
</project>

3、配置文件application.yml

shiro可以不用配置application.yml，后面通过Java文件来配置，这里就配置thymeleaf

spring:
  thymeleaf:
    cache: false # 开发时关闭缓存,不然没法看到实时页面
    mode: HTML 
    encoding: UTF-8
    servlet:
      content-type: text/html
    prefix: classpath:/templates/
    suffix: .html

3、实体类entity

User.java 用户实体类

我这里使用了lombok插件，不想安装的可以手动设置全参数构造方法和Get，Set方法

@Data
@AllArgsConstructor
public class User {
    private String id;
    private String userName;
    private String password;

    // 用户对应的角色集合
    private Set<Role> roles;
}
Role.java 角色实体类
@Data
@AllArgsConstructor
public class Role {

    private String id;
    private String roleName;

    //角色对应权限集合
    private Set<Permissions> permissions;
}
Permissions.java 角色实体类
@Data
@AllArgsConstructor
public class Permissions {
    private String id;
    private String permissionsName;
}

4、service类

Loginservice.java
public interface LoginService {

    User getUsername(String username) ;
}
LoginserviceImpl.java

目前使用map在内存上存储数据，等下次更新的时候，在使用数据库保存读取数据，使用经典的用户-角色-权限关系表

@Service
public class LoginServiceImpl implements LoginService {

    @Override
    public User getUsername(String username) {
        return map.get(username);
    }

    // 暂时使用静态变量存储数据
    private static Map<String ,User> map = new HashMap<>();

    static {
        //共添加两个用户，
        // 第一个用户都是admin角色，拥有所有权限
        // 第一个用户都是fengqiao，只拥有add权限无update权限

        // 权限
        Permissions permissions1 = new Permissions("1","user:update");
        Permissions permissions2 = new Permissions("2","user:add");

        // 角色权限关系
        Set<Permissions> adminSet = new HashSet<>();
        adminSet.add(permissions1);
        adminSet.add(permissions2);

        Set<Permissions> fengqiaoSet = new HashSet<>();
        fengqiaoSet.add(permissions2);

        // 角色, 目前一个用户对应一个角色
        Role adminRole = new Role("1","admin",adminSet);
        Role fengqiaoRole = new Role("2","fengqiao",fengqiaoSet);

        // 角色用户关系
        Set<Role> adminRoleSet = new HashSet<>();
        adminRoleSet.add(adminRole);

        Set<Role> fengqiaoRoleSet = new HashSet<>();
        fengqiaoRoleSet.add(fengqiaoRole);

        // 用户
        User admin = new User("1","admin","123456",adminRoleSet);
        User fengqiao = new User("2","fengqiao","123456",fengqiaoRoleSet);

        map.put(admin.getUserName(), admin);
        map.put(fengqiao.getUserName(), fengqiao);
    }
}
CustomRealm.java

自定义Realm权限管理器

public class CustomRealm extends AuthorizingRealm {

    @Autowired
    private LoginService loginService;

    // 授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        //获取登录用户名
        String name = (String) principalCollection.getPrimaryPrincipal();
        //根据用户名去数据库查询用户信息
        User user = loginService.getUsername(name);

        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
        for (Role role : user.getRoles()) {
            //添加角色
            simpleAuthorizationInfo.addRole(role.getRoleName());
            //添加权限
            for (Permissions permissions : role.getPermissions()) {
                simpleAuthorizationInfo.addStringPermission(permissions.getPermissionsName());
            }
        }

        return simpleAuthorizationInfo;
    }

    // 认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        //加这一步的目的是在Post请求的时候会先进认证，然后在到请求
        if (authenticationToken.getPrincipal() == null) {
            return null;
        }
        //获取用户信息
        String name = authenticationToken.getPrincipal().toString();
        User user = loginService.getUsername(name);
        if (user == null) {
            //这里返回后会报出对应异常
            return null;
        } else {
            //这里验证authenticationToken和simpleAuthenticationInfo的信息
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(name, user.getPassword().toString(), getName());
            return simpleAuthenticationInfo;
        }
    }
}
ShiroConfig.java

shiro配置文件，将配置上面自定义的CustomRealm

@Configuration
public class ShiroConfig {

    @Bean
    @ConditionalOnMissingBean
    public DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {
        DefaultAdvisorAutoProxyCreator defaultAAP = new DefaultAdvisorAutoProxyCreator();
        defaultAAP.setProxyTargetClass(true);
        return defaultAAP;
    }

    //将自己的验证方式加入容器
    @Bean
    public CustomRealm customRealm() {
        CustomRealm customRealm = new CustomRealm();
        return customRealm;
    }

    //权限管理，配置主要是Realm的管理认证
    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(customRealm());
        return securityManager;
    }

    @Bean
    public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);

        // 使用map存储权限规则
        Map<String, String> map = new HashMap<>();
        map.put("/user/add","perms[user:add]");
        map.put("/user/update","perms[user:update]");
        
        //首页
        shiroFilterFactoryBean.setLoginUrl("/toLogin");
        //错误页面跳转
        shiroFilterFactoryBean.setUnauthorizedUrl("/noAuth");
        
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        return shiroFilterFactoryBean;
    }

    @Bean
    public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {
        AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();
        authorizationAttributeSourceAdvisor.setSecurityManager(securityManager);
        return authorizationAttributeSourceAdvisor;
    }
}
MyExceptionHandler.java

注解配置类，用于处理异常

@ControllerAdvice
public class MyExceptionHandler {

    @ExceptionHandler
    @ResponseBody
    public String ErrorHandler(AuthorizationException e) {
        System.out.println("没有通过权限验证！"+e);
        return "没有通过权限验证！";
    }
}

5、Controller层

LoginShiroController

登录页面controller层

@Controller
public class LoginShiroController {

    @RequestMapping({"/" , "/index"})
    public String toIndex(Model model) {
        model.addAttribute("msg","hello, shiro ");
        return "index";
    }

    @RequestMapping("/user/add")
    public String useradd(Model model) { return "user/add"; }

    @RequestMapping("/user/update")
    public String userupdate(Model model) { return "user/update"; }

    @RequestMapping("/toLogin")
    public String toLogin(Model model) { return "user/login"; }

    @RequestMapping("/auth")
    public String auth(String username, String password ,Model model) {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        System.out.println(username+password);

        try{
            subject.login(token);
        }catch (UnknownAccountException e){ // 用户名异常
            model.addAttribute("msg","用户名不存在");
            return "user/login";
        }catch (IncorrectCredentialsException e){ // 密码错误
            model.addAttribute("msg","密码错误");
            return "user/login";
        }

        return "index";
    }
    @RequestMapping("/noAuth")
    public String noAuth(Model model) {
        model.addAttribute("msg","未经授权无法访问");
        return "noAuth";
    }

    //注解验角色和权限
    @RequiresRoles("fengqiao")
    @RequiresPermissions("user:add")
    @RequestMapping("/restindex")
    public String index() {
        return "index";
    }
}

6、thymeleaf 页面

本系统是一个简单的springboot整合shiro的项目，页面写的简单了点，但麻雀虽小，还得五脏俱全

add.html 添加
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>user add</h1>
</body>
</html>
update.html 更新
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>user update</h1>
</body>
</html>
login.html 登录页
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>login</title>
</head>
<body>
<h1 th:text="${msg}"></h1>
<form method="post" action="/auth">
    <table>
        <tr><td>用户名</td><td><input type="text" name="username" /></td></tr>
        <tr><td>密码</td><td><input type="password" name="password" /></td></tr>
        <tr><td><input type="submit" /></td></tr>
    </table>
</form>
</body>
</html>
index.html 首页
<!DOCTYPE>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Hello shrio</title>
</head>
<body>
<div>
    <span>首页</span>
    <h1 th:text="${msg}"></h1>
    <a href="/user/add">useradd</a>
    <a href="/user/update">userupdate</a>
</div>
</body>
</html>
noAuth.html 未认证页面
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1 th:text="${msg}"></h1>
</body>
</html>

测试

这里使用fengqiao账号为大家演示下

http://localhost:8080/auth

用户名：fengqiao

密码： 123456

http://localhost:8080/index

在这页面有两个超链接，useradd有权限，userupdate没有权限，返回未认证

http://localhost:8080/user/add

在这里插入图片描述

http://localhost:8080/noAuth在这里插入图片描述

本文结束，O(∩_∩)O谢谢查看

枫与桥
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
六、Springboot 整合Shiro---04权限控制
itxsl的博客
07-21 1472
本章节基于：五、Springboot 整合Shiro---03认证---第三方QQ登陆 一、通过realm进行权限控制 1、在templates下创建三个html页面 user.html、admin.html、unauthorized.html 2、创建一个Action类 package com.xslde.action; import org.springframework.ste...
springboot-shiro权限控制
sinat_40693969的博客
06-02 475
springboot-shiro权限控制
越权访问解决方案探索（基于Spring与Shiro，多页面前端应用）
Simon111Qiu的博客
11-11 2010
越权访问（Broken Access Control，简称BAC）是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大，被OWASP列为Web应用十大安全隐患的第二名。越权访问的介绍可以参考如下文章，介绍得比较详细： https://blog.csdn.net/u012068483/article/details/89553797 目前的问题分析与解决思路： 问题1、水平越权访问是一种“基于数据的访问控制”设计缺陷引起的漏洞。由于服务器端在接收到请求数据进行操作时没有判断数据的所属人/所属部门而
springboot集成shiros自定义md5加密自定义token认证
最新发布
a360284634的博客
06-18 872
spring boot 集成 shiro，shiro介绍，shiro与springSecurity区别，shiro优缺点
[详细]Apache Shiro身份验证越权漏洞[CVE-2016-6802][CVE-2020-1957]
qq_60115503的博客
11-07 2693
Apache Shiro是一个强大且易用的java安全框架,执行身份验证,授权,密码和会话管理,使用Shiro的API,可以快速获取任何应用程,从最小的移动应用到最大的网络和企业应用程序。
SpringBoot整合Shiro实现权限控制，springmvc实战教程
03-22 929
**自定义安全策略*/@Autowired//授权@Override//根据用户名查询用户权限=null){//权限去重//给shiro的安全管理器授权//认证@Override//根据用户名查询用户信息=null){/**自定义shiro配置管理程序加载时，已经初始化*/@Configuration //标注此类为一个配置管理类，自动备spring管理@Bean。
Shiro与其他Java安全框架（如Spring Security）相比，有哪些优势和劣势？在一个典型的Java Web应用程序中，你如何集成Shiro来实现安全控制？
Aaron的博客
03-25 1712
综上所述，Shiro和Spring Security各有优劣，选择哪个框架取决于项目的具体需求、团队的技术栈以及对安全性的要求。首先，你需要在你的Java Web项目的构建配置中（例如Maven的pom.xml或Gradle的build.gradle）添加Shiro的依赖。这样，你的项目就可以使用Shiro提供的类和方法了。与Spring框架的深度集成：Spring Security是Spring框架的一部分，与Spring的其他组件（如Spring MVC）能够无缝集成，提供了更好的一致性和便利性。
springboot整合shiro实现权限控制.zip
02-04
本文将详细探讨如何在Spring Boot项目中整合Shiro以实现权限控制。 首先，我们要理解Spring Boot与Shiro的基本概念。Spring Boot基于Spring框架，通过自动配置和起步依赖简化了项目的构建和部署。它提倡约定优于...
SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录
06-19
SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录 SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录 SpringBoot整合Shiro示例实现动态权限加载更新+Session共享+单点登录 ...
springboot整合shiro的权限控制系统
06-15
本项目将详细介绍如何在Spring Boot应用中整合Shiro实现一套简洁而实用的权限控制系统。 首先，我们需要理解Spring Boot与Shiro的基本概念。Spring Boot提供了一个快速构建和运行Spring应用的环境，通过自动配置和...
Springboot + shiro权限管理shiro-master.zip
05-01
总的来说，Spring Boot与Shiro的整合能帮助我们轻松实现权限管理，包括用户认证、授权、会话管理和缓存管理。通过合理的配置和自定义扩展，可以构建出符合业务需求的权限控制体系，从而提升应用的安全性与用户体验。...
SpringBoot集成Shiro进行权限控制和管理的示例
08-27
本文将介绍如何将Shiro集成到SpringBoot项目中，以实现权限控制和管理。 Shiro的优点 相比于Spring Security，Shiro具有以下优点： * 轻量级：Shiro的jar包大小只有几十KB，相比于Spring Security的几十MB，Shiro...
SpringBoot集成Shiro权限管理框架
liuerpeng1904的博客
10-11 529
*** 自定义Realm用于查询用户的角色和权限信息并保存到权限管理器：/*** @Description 权限配置类//获取登录用户名 String name =(String) principalCollection . getPrimaryPrincipal();//查询用户名称 User user = MySqlTool . getUser(name);
SpringBoot 整合 Shiro 实现登录验证即权限下放、关于Permission
baolingye的博客
11-15 864
Shiro简介 Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。 Shiro三个核心组件： Subject：即“当前操作用户”。但是，在Shiro中，Subject这一概念并不仅仅指人，也可以是第三方进程、后台帐户（Daemon Account）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。Subject代表了当前用户的安全操作，Secur...
springboot整合shiro实现简单权限控制
听钱塘信来的博客
10-03 6835
springboot整合shiro实现简单权限控制
SpringBoot学习小结之权限控制Shiro
十十办文武的博客
06-12 1160
Shiro是 Apache下一个功能强大、灵活的轻量级java开源安全框架，可用来实现用户身份验证、权限授权、session管理和密码加密等功能。下图是Shiro的重点主要概念支持功能身份验证和授权功能具有可插拔性和灵活性，方便开发人员自定义自己的角色权限规则shiro和Spring Security对比 1.2 实体类 2.3 Dao 2.4 Controller 2.5 配置 web配置 Shiro配置 全局异常处理 2.6 Realm 2.7 自定义注解LoginUse
springboot整合shiro入门，实现认证和授权功能（非常详细）
沐雨橙风ιε的博客
07-02 6122
自定义过滤器AuthorizationFilter实现鉴权功能。/*** 鉴权过滤器*/@WebFilter@Override= null &&!// 构建返回对象JsonResult<Void> jsonResult= JsonResult.error(ResponseCode.UNAUTHORIZED, "正在访问未授权的资源");return;
springboot项目中使用shiro框架基于RBAC实现权限控制
qq_51891433的博客
06-18 427
注解标记，并在该类中进行相关的配置，包括创建SecurityManager、配置Realm等。注解标记，并在该类中进行相关的配置，包括创建SecurityManager、配置Realm等。4、创建一个登录页面和相应的登录Controller，用于处理用户登录请求。5、在需要进行权限控制的Controller方法上，添加相应的Shiro注解（如。在需要进行权限控制的Controller方法上，添加相应的Shiro注解（如。创建一个登录页面和相应的登录Controller，用于处理用户登录请求。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值