Shiro和Spring MVC、Mybatis整合教程

前言

Apache Shiro 是Java的安全框架，提供了认证（Authentication）、授权（Authorization）、会话（Session）管理、加密（Cryptography）等功能，且Shiro与Spring Security等安全框架相比具有简单性、灵活性、支持细粒度鉴权、支持一级缓存等，还有Shiro不跟任何容器（Tomcat等）和框架（Sping等）捆绑，可以独立运行，这也造就了Shiro不仅仅是可以用在Java EE上还可以用在Java SE上。

Shiro四大功能

在开始之前，首先了解一下Shiro的四大功能，俗话说“知己知彼百战不殆”。

认证

认证就是用户访问系统的时候，系统要验证用户身份的合法性，比如我们通常所说的“登录”就是认证的一种方式，只有登录成功了之后我们才能访问相应的资源。在Shiro中，我们可以将用户理解为Subject主体，在用户身份认证的时候，用户需要提供能证明他身份的信息，如用户名、密码等，用户所提供的这些用户名、密码则对应Shiro中的Principal、 Credentials，即在Subject进行身份认证的时候，需要提供相应的Principal、 Credentials，对应的代码如下：

UsernamePasswordToken token = new UsernamePasswordToken(username, password);
Subject subject = SecurityUtils.getSubject();
subject.login(token); //提交认证

我们知道Http协议是无状态的，所以用户认证成功后怎么才能保持认证成功的状态呢？如果是我们开发的话一般都是登录成功后将Session储存在服务器，然后再将Session返回给用户，之后的请求用户都将这个Session带上，然后服务器根据用户请求携带的Session和服务器储存的Session进行比较来判断用户是否已认证。但是使用Shiro后，Shiro已经帮我们做好这个了（下面介绍的会话管理），是不是feel爽~

授权

授权可以理解为访问控制，在用户认证（登录）成功之后，系统对用户访问资源的权限进行控制，即确定什么用户能访问什么资源，如普通用户不能访问后台，但是管理员可以。在这里我们还需要认识几个概念，资源（Resource）、角色（Role）、权限（Permission），上面提到的Subject主体可以有多个角色，每个角色又对应多个资源的多个权限，这种基于资源的访问控制可以实现细粒度的权限。对主体设置角色、权限的代码如下：

SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
//  添加用户的角色
authorizationInfo.addRoles(roleIdList);
//  添加用户的权限
authorizationInfo.addStringPermissions(resourceIdList);

如果要实现这样的授权功能，我们必定需要设计一个用户组、权限，给每个方法或者URL加上判断，是否当前登录的用户满足条件。但是使用Shiro后，Shiro也帮我们帮这些都做好了。

会话管理

会话管理的会话即Session，所谓会话，即用户访问应用时保持的连接关系，在多次交互中应用能够识别出当前访问的用户是谁，且可以在多次交互中保存一些数据。如访问一些网站时登录成功后，网站可以记住用户，且在退出之前都可以识别当前用户是谁。在Shiro中，与用户有关的一切信息都可以通过Shiro的接口获得，和用户的会话Session也都由Shiro管理。如实现“记住我”或者“下次自动登录”的功能，如果要自己去开发的话，估计又得话不少时间。但是使用Shiro后，Shiro也帮我们帮这些都做好了。

加密

用户密码明文保存是不是安全，应不应该MD5加密，是不是应该加盐，又要写密码加密的代码。 这些Shiro已经帮你做好了。

Shiro三大核心概念

从整体概念上理解，Shiro的体系架构有三个主要的概念，Subject（主体），Security Manager （安全管理器）和 Realms （域）。

Subject主体

主体是当前正在操作的用户的特定数据集合。主体可以是一个人，也可以代表第三方服务，守护进程，定时任务或类似的东西，也就是几乎所有与该应用进行交互的事物。所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给 SecurityManager，可以把 Subject 认为是一个门面，SecurityManager 才是实际的执行者。

Security Manager安全管理器

安全管理器，即所有与安全有关的操作都会与SecurityManager交互，且它管理着所有Subject可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过 SpringMVC，你可以把它看成DispatcherServlet前端控制器，一般来说，一个应用只会存在一个SecurityManager实例。

Realms域

域，Shiro从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法，也需要从Realm得到用户相应的角色 / 权限进行验证用户是否能进行操作，即Realms作为Shiro与应用程序安全数据之间的“桥梁”。从这个意义上讲，Realm实质上是一个安全相关的DAO，它封装了数据源的连接细节，并在需要时将相关数据提供给Shiro。其中Realm有2个方法，doGetAuthenticationInfo用来认证，doGetAuthorizationInfo用来授权。

Spring、Spring MVC、Mybatis、Shiro集成

项目目录

添加依赖包

pox.xml：

<?xml version="1.0" encoding="UTF-8"?>

<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
  <modelVersion>4.0.0</modelVersion>

  <groupId>shiro</groupId>
  <artifactId>shiro</artifactId>
  <version>1.0-SNAPSHOT</version>
  <packaging>war</packaging>

  <name>shiro Maven Webapp</name>
  <!-- FIXME change it to the project's website -->
  <url>http://www.example.com</url>

  <properties>
    <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
    <maven.compiler.source>1.7</maven.compiler.source>
    <maven.compiler.target>1.7</maven.compiler.target>
  </properties>

  <dependencies>
    <dependency>