SpringBoot 整合 Shiro 实现登录拦截

最新推荐文章于 2022-04-17 20:00:27 发布
最新推荐文章于 2022-04-17 20:00:27 发布
阅读量912 收藏 16
点赞数 6
分类专栏： # Springboot
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/woo_home/article/details/108144885
版权

文章目录

Shiro 简介

什么是 Shiro？

  • Apache Shiro 是一个 Java 的安全（权限）框架
  • Shiro 可以非常容易的开发出足够好的应用，不仅可以用在 Java SE 环境，也可以用在 Java EE 环境
  • Shiro 可以完成，认证，授权，加密，会话管理，Web 集成，缓存等
  • 下载地址 http://shiro.apache.org/

在这里插入图片描述

Shiro 的基本功能

在这里插入图片描述

  • Authentication：身份认证/登录，验证用户是不是拥有相应的身份

  • Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限

  • Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的

  • Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储

  • Web Support：Web 支持，可以非常容易的集成到Web 环境

  • Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率

  • Concurrency：Shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去

  • Testing：提供测试支持

  • Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问

  • Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了

Shiro 的架构

Shiro 的架构图如下：
在这里插入图片描述

  • Subject：主体，外部应用与subject进行交互，subject 记录了当前操作用户，将用户的概念理解为当前操作的主体，可能是一个通过浏览器请求的用户，也可能是一个运行的程序。 Subject 在 shiro 中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过 subject 进行认证授，而 subject 是通过 SecurityManager 安全管理器进行认证授权

  • SecurityManager：安全管理器，对全部的 subject 进行安全管理，它是 shiro 的核心，负责对所有的 subject 进行安全管理。通过 SecurityManager 可以完成 subject 的认证、授权等，实质上 SecurityManager 是通过 Authenticator 进行认证，通过 Authorizer 进行授权，通过 SessionManager 进行会话管理等

SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口

在这里插入图片描述

  • Authenticator：认证器，对用户身份进行认证，Authenticator 是一个接口，shiro 提供ModularRealmAuthenticator 实现类，通过 ModularRealmAuthenticator 基本上可以满足大多数需求，也可以自定义认证器

  • Authorizer：授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限

  • realm：领域，相当于 datasource 数据源，securityManager 进行安全认证需要通过 Realm 获取用户权限数据，比如：如果用户身份数据在数据库那么 realm 就需要从数据库获取用户身份信息

注意：不要把 realm 理解成只是从数据源取数据，在 realm 中还有认证授权校验的相关的代码。

  • SessionManager：会话管理，shiro 框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录

  • SessionDAO：会话dao，是对 session 会话操作的一套接口，比如要将 session 存储到数据库，可以通过 jdbc 将会话存储到数据库

  • CacheManager：CacheManager 即缓存管理，将用户权限数据存储在缓存，这样可以提高性能

  • Cryptography：Cryptography 即密码管理，shiro 提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加密解密等功能

Shiro 的认证流程

身份验证：在应用中谁能证明他就是他本人。一般提供如他们的身份ID 一些标识信息来表明他就是他本人，如提供身份证，用户名/密码来证明。在 Shiro中，用户需要提供principals （身份）和 credentials（证明）给 Shiro，从而应用能验证用户身份（其实就是用户名和密码）

principals：身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。一个主体可以有多个 principals，但只有一个 Primary principals，一般是用户名/密码/手机号。

credentials：证明 / 凭证，即只有主体知道的安全值，如密码 / 数字证书等。最常见的 principals 和 credentials 组合就是用户名/密码了。

在这里插入图片描述

SpringBoot 整合 Shiro

添加 Maven 依赖

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>

	<!-- thymeleaf -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>

	<!-- Shiro 整合依赖 -->
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.4.1</version>
    </dependency>

    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.4.1</version>
    </dependency>

    <!-- 日志依赖 -->
    <dependency>
        <groupId>org.slf4j</groupId>
        <artifactId>jcl-over-slf4j</artifactId>
        <scope>1.7.21</scope>
    </dependency>
    <dependency>
        <groupId>org.slf4j</groupId>
        <artifactId>slf4j-log4j12</artifactId>
        <scope>1.7.21</scope>
    </dependency>
    <dependency>
        <groupId>log4j</groupId>
        <artifactId>log4j</artifactId>
        <version>1.2.17</version>
    </dependency>
    <dependency>
        <groupId>commons-logging</groupId>
        <artifactId>commons-logging</artifactId>
        <version>1.2</version>
    </dependency>
</dependencies>

HTML 页面

先来编写几个非常简单的 HTML 页面，等下会用到
在这里插入图片描述

index.html

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        <h1>首页</h1>
        <p th:text="${msg}"></p>
        <hr>
        <a th:href="@{/user/add}">add</a> | <a th:href="@{/user/update}">update</a>
    </body>
</html>

login.html

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        <h1>登录</h1>
        <hr>
        <p th:text="${msg}" style="color: red"></p>
        <form th:action="@{/login}">
            <p>用户名：<input type="text" name="username"></p>
            <p>密码：<input type="password" name="password"></p>
            <p><input type="submit"></p>
        </form>
    </body>
</html>

add.html

<!DOCTYPE html>
<html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        <h1>add</h1>
    </body>
</html>

update.html

<!DOCTYPE html>
<html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        <h1>update</h1>
    </body>
</html>

自定义 UserRealm（用户认证）

package com.example.shirodemo.config;

import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;

/**
 * @author Woo_home
 * @create 2020/8/21 13:19
 */

// 自定义的 UserRealm
public class UserRealm extends AuthorizingRealm {

    /**
     * 授权
     * @param principalCollection
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("执行了=》授权 doGetAuthorizationInfo");
        return null;
    }

    /**
     * 认证
     * @param authenticationToken
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        System.out.println("执行了=》认证 doGetAuthenticationInfo");

        // 自定义用户名和密码，只有登录时用户名和密码一样才能登录成功
        String username = "root";
        String password = "123456";
	
        UsernamePasswordToken userToken = (UsernamePasswordToken) authenticationToken;

        if (!userToken.getUsername().equals(username)) {
            return null;// 抛出异常 UnknownAccountException
        }

        // 密码认证，用 shiro 做~
        return new SimpleAuthenticationInfo("", password, "");
    }
}

Shiro 配置类（登录拦截）

package com.example.shirodemo.config;

import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.util.LinkedHashMap;
import java.util.Map;

/**
 * @author Woo_home
 * @create 2020/8/21 13:17
 */

@Configuration
public class ShiroConfig {

    /**
     * 基于 Spring 的 Web 应用程序中用于定义主 Shiro 过滤器
     * @param defaultSecurityManager 默认的安全管理器
     * @return
     */
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultSecurityManager defaultSecurityManager) {
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        // 设置安全管理器
        bean.setSecurityManager(defaultSecurityManager);

        /**
         * 添加 shiro 的内置过滤器
         * anon：无需认证就可以访问
         * user：必须拥有记住我功能才能用
         * perms：拥有对某个资源的权限才能访问
         * role：拥有某个角色权限才能访问
         */
        Map<String, String> filterMap = new LinkedHashMap<>();

//        filterMap.put("/user/add", "authc");
//        filterMap.put("/user/update", "authc");
		// 拦截
        filterMap.put("/user/*", "authc");

        bean.setFilterChainDefinitionMap(filterMap);

        // 设置登录的请求，只有登录之后才能访问 add 和 update 页面
        bean.setLoginUrl("/toLogin");

        return bean;
    }

    /**
     * 默认的安全管理器
     * @param userRealm 自定义的 UserRealm
     * @return
     */
    @Bean(name = "securityManager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm) {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        // 关联 UserRealm
        securityManager.setRealm(userRealm);
        return securityManager;
    }

    // 创建 realm 对象，需要自定义类
    @Bean
    public UserRealm userRealm() {
        return new UserRealm();
    }
}

上述代码中

filterMap.put("/user/add", "authc");
filterMap.put("/user/update", "authc");

等同于下面这行代码

filterMap.put("/user/*", "authc");

Controller

package com.example.shirodemo.controller;

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.UnknownAccountException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;
import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;

/**
 * @author Woo_home
 * @create 2020/8/21 13:11
 */

@Controller
public class MyController {

	// 首页
    @RequestMapping({"/", "/index"})
    public String toIndex(Model model) {
        model.addAttribute("msg", "Hello,Shiro");
        return "index";
    }

	// add 页面
    @RequestMapping("/user/add")
    public String add() {
        return "user/add";
    }

	// update 页面
    @RequestMapping("/user/update")
    public String update() {
        return "user/update";
    }

	// 登录页面
    @RequestMapping("/toLogin")
    public String toLogin() {
        return "login";
    }

	// 真正实现登录逻辑
    @RequestMapping("/login")
    public String login(String username, String password, Model model) {

        // 获取当前的用户
        Subject subject = SecurityUtils.getSubject();

        // 封装用户的登录数据
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);

        try {
            // 执行登录方法，如果没有异常就说明登录成功
            subject.login(token);
            return "index";
        } catch (UnknownAccountException e) { // 用户不存在
            model.addAttribute("msg", "用户名错误");
            return "login";
        } catch (IncorrectCredentialsException e) { // 密码错误
            model.addAttribute("msg", "密码错误");
            return "login";
        }
    }
}

测试

这样整个代码就写得差不多了，我们来启动测试一下，访问 http://localhost:8080/

在这里插入图片描述
然后点击访问 add 和 update 都会跳转到 login 页面

在这里插入图片描述
当输入的用户名和密码不正确时会提示用户名错误

在这里插入图片描述
当输入的密码错误时，会提示密码错误

在这里插入图片描述
当输入正确的用户名和密码的时候才会成功跳转到首页

在这里插入图片描述
这时候再点击 add 和 update 都可以成功访问了

在这里插入图片描述
在这里插入图片描述
控制台也会输出执行了认证 doGetAuthenticationInfo

在这里插入图片描述
完整代码已上传码云， 代码下载地址

Woo_home
关注
  • 6
    点赞
  • 踩
  • 16
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
spring boot整合shiro实现url请求过滤
07-13
本demo为Spring boot整合shiro，以mybatis plus做dao层交互数据，实现了读取数据库用户数据实现用户登录，权限认证，读取数据库中用户对应的url请求，实现请求的过滤。自定义了relam和过滤器来实现这些功能
SpringBoot整合shiro实现登录
08-10
SpringBoot整合Shiro实现登录是一项常见的任务，尤其是在构建基于Java的Web应用时。Spring Boot以其简洁的配置和快速开发的特点，已经成为许多开发者的首选。而Apache Shiro则是一个强大且易用的安全管理框架，用于...
SpringBoot整合Shiro实现登录拦截
xiao____ming的博客
09-12 240
一、搭建一个SpringBoot 项目。 二、导入shiro 相关坐标： <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>1.7.1</version> </dependen
shiro实现登录拦截
Java修炼者的博客
12-22 322
shiro实现登录拦截 /* *anon:无需认证就可以访问 * authc:必须认证了才能访问 * user:必须拥有 记住我 功能才能访问 * perms:拥有对某个资源的权限才能访问 * role:拥有某个角色权限才能访问 * */
SpringBoot-shiro搭建环境
jj89929665的博客
12-14 113
1.pom坐标 <!-- shiro整合spring --> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>1.4.1</version> </dependency&gt
SpringBoot 整合Shiro 实现登录验证拦截功能
12-21
SpringBoot 整合Apache Shiro 是为了实现在Web应用程序中进行用户身份验证和授权的高效方式。Shiro 提供了一套简洁的API，用于处理登录、权限控制、会话管理和密码加密等安全需求。在本项目中，我们将一步步了解如何...
SpringBoot_Shiro_JWT_Redis:SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新
05-14
SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新 前端代码为一个博客页面，使用了Semantic UI框架结合thymeleaf模板 SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权 [TOC] 一、引言 ​ ...
SpringBoot整合Shiro+JWT
05-15
以上就是SpringBoot整合Shiro和JWT实现用户认证的基本流程。这个Demo案例提供了一个完整的实现，包括代码注释和SQL文件，下载后只需刷新依赖就可以直接运行。通过这种方式，开发者可以快速理解和实践这一安全认证...
springboot整合shiro
12-28
SpringBoot整合Shiro是将Apache Shiro安全框架与SpringBoot微服务框架相结合，用于实现应用程序的安全管理和权限控制。Shiro是一个轻量级的安全框架，它提供了身份认证、授权（权限控制）、会话管理和加密等功能，...
SpringBoot整合Shiro后实现免密登录
04-11
SpringBoot整合Shiro后实现免密登录 1，说明一下步骤，需要在原来基础新增三个文件 2，新增CustomToken，重写UsernamePasswordToken免密登录调用方法和密码登录调用方法都在里面。 3，新增MyRetryLimitCredentialsMatcher，重写HashedCredentialsMatcher，主要是判定登录是否是免密登录。 4，新增LoginType，登录类型枚举 5，修改ShiroConfig文件，即Shiro配置文件，主要关注：57,63，65-90行 原文链接：https://blog.csdn.net/zlxls/article/details/105455375
SpringBoot + shiro Demo 简单登录验证权限验证
02-08
SpringBoot ，Shiro 密码加密，登录验证，权限控制demo
SpringBoot - shiro 作登录认证和拦截
shu的博客
04-14 174
SpringBoot - shiro 作登录认证和拦截ControllerShiroConfigUserRealm Controller /** * @author Shu * @date 2020/3/26 上午11:45 */ @Api (tags = "管理系统登录页面", value = "账号密码认证") @RestController public class LoginCon...
shiro 同时实现url和按钮的拦截_Springboot + shiro 整合之Url拦截设置（转）
weixin_39922361的博客
12-19 175
shiro 整合到springboot 还是比较简单的，只需要新建一个spring-shiro.xml的配置文件：xsi:schemaLocation="http://www.springframework.org/schema/beanshttp://www.springframework.org/schema/beans/spring-beans-4.0.xsd"default-lazy-i...
SpringBoot 札记 （ Shiro整合springboot、实现登陆拦截、用户认证 ）
CSNZのBlog
08-10 125
一：新建一个springboot项目，勾选web、thymeleaf依赖 二：导入shiro-spring的依赖 <!--Shiro整合spring的依赖--> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <ver
SpringBoot之----整合Shiro环境，实现登陆拦截和用户认证
aaa123_456aaa的博客
01-15 368
1.创建springboot项目，创建时选择导入springboot web和thmyeleaf 2.编写UserRealm类
Shiro与SpringBoot整合，实现登录拦截、用户认证、用户授权等。实战demo
uziuzi669的博客
09-06 391
一、开发环境 名称 版本 IntelliJ IDEA 2019.3.5 x64 JDK 1.8 MySQL mysql-5.7.31-winx64 SpringBoot 2.0+ Maven apache-maven-3.6.3 shiro 1 .4.0 二、项目搭建 1、创建一个SpringBoot项目导入相关pom依赖： <parent> <groupId>org.springframework.boot</gr
在Springboot进行Shiro的创建，完成登录功能和拦截功能
mingzq123的博客
04-17 222
首先，导入shiro的包 //这是Shiro的包 <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring-boot-web-starter</artifactId> <version>1.5.3</version>
shiro讲解，以及SpringBoot微框架集成shiro完成登录拦截器功能。
听风动的博客
04-02 1232
一：shiro是什么？ 1.shiro是什么 shiro是apache开源组织开发的一套开源的安全（权限）框架，跨语言跨平台，能在B/S架构上运行，也能在C/S架构上运行。 2.shiro与传统权限的区别 shiro是对传统的五表权限进行了封装，shiro把用户的认证(登录)和授权(用户赋权限)功能进行了封装处理，使权限操作更加简便，shiro需要传统五表权限来维护用户 角色 权限...
springboot整合shiro实现登录
最新发布
09-26
要实现springboot整合shiro实现登录，你需要按照以下步骤进行操作： 1. 引入相关依赖：在项目的pom.xml文件中添加spring-boot-starter-web和spring-boot-starter-thymeleaf依赖。 2. 创建ShiroConfig类：在项目的配置包中创建一个名为ShiroConfig的Java类，并在该类中进行相关的配置，包括： - 创建Realm对象并设置认证和授权方法 - 创建SecurityManager对象并设置Realm - 创建ShiroFilterFactoryBean对象并设置SecurityManager和过滤规则 - 配置Shiro的登录页面和登录成功后的跳转页面等 3. 创建自定义Realm类：在项目中创建一个自定义的Realm类，并继承org.apache.shiro.realm.AuthenticatingRealm类。在该类中实现认证和授权的方法。 4. 创建登录页面和相关的Controller：创建一个登录页面，并在项目中创建一个Controller类，负责处理登录请求和跳转页面的逻辑。 5. 配置拦截规则：在ShiroConfig类中配置拦截规则，包括哪些URL需要进行拦截，哪些URL不需要拦截等。 6. 启动项目：运行SpringbootShiroApplication的main方法，启动项目。 7. 访问登录页面：在浏览器中输入项目的URL，访问登录页面。 8. 输入用户名和密码：在登录页面输入正确的用户名和密码，点击登录按钮。 9. 登录成功：如果用户名和密码匹配成功，则跳转到登录成功页面；否则，返回登录页面并显示错误信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值