1. shiro简介以及功能描述
Shiro 是 Java 的一个安全框架。目前,使用 Apache Shiro 的人越来越多,因为它相 当简单,对比 Spring
Security,可能没有 Spring Security 做的功能强大,但是在实际工作时 可能并不需要那么复杂的东西,所以使用小而简单的
Shiro 就足够了。
Authentication:身份认证/登录,验证用户是不是拥有相应的身份;
Authorization:授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用
户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用
户对某个资源是否具有某个权限;
Session Manager:会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信
息都在会话中;会话可以是普通 JavaSE 环境的,也可以是如 Web 环境的;
Cryptography:加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
Web Support:Web 支持,可以非常容易的集成到 Web 环境;
Caching:缓存,比如用户登录后,其用户信息、拥有的角色/权限不必每次去查,这样可以提高效率;
Concurrency:shiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去;
Testing:提供测试支持;
Run As:允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
Remember Me:记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录
记住一点,Shiro 不会去维护用户、维护权限;这些需要我们自己去设计/提供;然后通过相应的接口注入给 Shiro 即可。
2. shiro实现原理理解
也就是说对于我们而言,最简单的一个 Shiro 应用:
应用代码通过 Subject 来进行认证和授权,而 Subject 又委托给SecurityManager; 我们需要给 Shiro 的 SecurityManager 注入 Realm,从而让 SecurityManager 能得到合法
的用户及其权限进行判断。
3. shiro的架构理解
Subject:主体,可以看到主体可以是任何可以与应用交互的“用户”;
SecurityManager : 相 当 于 SpringMVC 中 的 DispatcherServlet 或 者 Struts2 中的
FilterDispatcher;是 Shiro 的心脏;所有具体的交互都通过 SecurityManager 进行控制;它管理着所有 Subject、且负责进行认证和授权、及会话、缓存的管理。
Authenticator:认证器,负责主体认证的,这是一个扩展点,如果用户觉得 Shiro 默认的不好,可以自定义实现;其需要认证策略(Authentication Strategy),即什么情况下算用户认证通过了;
Authrizer:授权器,或者访问控制器,用来决定主体是否有权限进行相应的操作;即控制着用户能访问应用中的哪些功能;
Realm:可以有 1 个或多个 Realm,可以认为是安全实体数据源,即用于获取安全实体的;可以是 JDBC 实现,也可以是 LDAP 实现,或者内存实现等等;由用户提供;注意:Shiro不知道你的用户/权限存储在哪及以何种格式存储;所以我们一般在应用中都需要实现自己的 Realm;
SessionManager:如果写过 Servlet 就应该知道 Session 的概念,Session 呢需要有人去管理它的生命周期,这个组件就是 SessionManager;而 Shiro 并不仅仅可以用在 Web 环境,也可以用在如普通的 JavaSE 环境、EJB 等环境;所有呢,Shiro 就抽象了一个自己的 Session来管理主体与应用之间交互的数据;这样的话,比如我们在 Web 环境用,刚开始是一台Web 服务器;接着又上了台 EJB 服务器;这时想把两台服务器的会话数据放到一个地方,
这个时候就可以实现自己的分布式会话(如把数据放到 Memcached 服务器);
SessionDAO:DAO 大家都用过,数据访问对象,用于会话的 CRUD,比如我们想把 Session保存到数据库,那么可以实现自己的 SessionDAO,通过如 JDBC 写到数据库;比如想把Session 放到 Memcached 中,可以实现自己的 Memcached SessionDAO;另外 SessionDAO中可以使用 Cache 进行缓存,以提高性能;
CacheManager:缓存控制器,来管理如用户、角色、权限等的缓存的;因为这些数据基本
上很少去改变,放到缓存中后可以提高访问的性能
Cryptography:密码模块,Shiro 提高了一些常见的加密组件用于如密码加密
4. shiro认证功能(Authentication)流程
流程图
5.登录案例
/**
* 登录功能
*
*/
@PostMapping("/login")
public ModelAndView login(@RequestParam("username") String username,
@RequestParam("password") String password,
ModelAndView modelAndView) {
//使用shiro编写认证操作
// 1.获取Subject
Subject subject = SecurityUtils.getSubject();
// 2.封装用户数据
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
// 3.执行登录方法
try {
subject.login(token);
modelAndView.setViewName("index");
} catch (UnknownAccountException e) {
modelAndView.addObject("msg", "用户名不存在");
modelAndView.setViewName("login");
} catch (IncorrectCredentialsException e) {
modelAndView.addObject("msg", "密码错误");
modelAndView.setViewName("login");
}
return modelAndView;
}
1、UsernamePasswordToken 实现HostAuthenticationToken和RemeberAuthenticationToken,HostAuthenticationToken实现AuthenticationToken
2、首先调用 Subject.login(token)进行登录,其会自动委托给 Security Manager,调用之前必
须通过 SecurityUtils. setSecurityManager()设置;
3、SecurityManager 负责真正的身份验证逻辑;它会委托给 Authenticator 进行身份验证;SecurityManager j接口继承Authenticator、Authrizer、sessionManage接口
4、Authenticator 才是真正的身份验证者,Shiro API 中核心的身份认证入口点,此处可以自
定义插入自己的实现;
5、Authenticator 可能会委托给相应的 AuthenticationStrategy 进行多 Realm 身份验证,默认
ModularRealmAuthenticator 会调用 AuthenticationStrategy 进行多 Realm 身份验证;
6、Authenticator 会把相应的 token 传入 Realm,从 Realm 获取身份验证信息,如果没有返
回/抛出异常表示身份验证失败了。此处可以配置多个 Realm,将按照相应的顺序及策略进
行访问。
Realm
一般继承 AuthorizingRealm(授权)即可;其继承了 AuthenticatingRealm(即身份验证),而且也间接继承了 CachingRealm(带有缓存实现),重写里面AuthenticationInfo 认证和doGetAuthorizationInfo授权方法。
自定义Realm的写法
public class UserRealm extends AuthorizingRealm {
private final static Logger LOGGER = LoggerFactory.getLogger(UserRealm.class);
/**
* 服务对象
*/
@Resource
private UserService userService;
/**
* 执行授权逻辑
*
* @param principalCollection
* @return
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
LOGGER.info("执行授权逻辑");
// 给资源进行授权
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
//获取当前登录用户
Subject subject = SecurityUtils.getSubject();
// 获取SimpleAuthenticationInfo方法的第一个参数的内容
// User user = (User) subject.getPrincipal();
// 添加资源的授权字符串
// info.addStringPermission("imageManage:addImage");
return info;
}
/**
* 执行认证逻辑
*
* @param authenticationToken
* @return
* @throws AuthenticationException
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
LOGGER.info("执行认证逻辑");
UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;
//获取输入的用户名
String username = upToken.getUsername();
String password = "";
if (upToken.getPassword() != null) {
//获取的输入的密码
password = new String(upToken.getPassword());
}
LOGGER.info("password{}",password);
User login = userService.queryByUser(username);
if (login != null) {
ByteSource salt = ByteSource.Util.bytes(login.getUsername());
LOGGER.info("salt盐值加密后的密码{}",login.getPassword());
Session session = SecurityUtils.getSubject().getSession();
session.setAttribute("username", username);
//SimpleAuthenticationInfo 第一个参数是返回的数据,
// 第二个值是密码,这个密码必须是用户名验证成功后从数据库中取出的加密后的密码,
// 第三个字段是盐值,第四个字段是realm,即当前realm的名称,一般使用getName()即可
//通过CredentialsMatcher属性进行密码的比对
return new SimpleAuthenticationInfo(login, login.getPassword(), salt, getName());
}
return null;
}
}
自定义好realm之后需要在ShiroConfig中进行配置
/**
* shiro配置类
* @author sxyuser
*/
@Configuration
public class ShiroConfig {
/**
* Shiro过滤器配置
*/
@Bean
public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
// Shiro的核心安全接口,这个属性是必须的
shiroFilterFactoryBean.setSecurityManager(securityManager);
// 身份认证失败,则跳转到登录页面的配置
shiroFilterFactoryBean.setLoginUrl("/login");
// 权限认证失败,则跳转到指定页面
shiroFilterFactoryBean.setUnauthorizedUrl("/path/unauth");
// Shiro连接约束配置,即过滤链的定义
LinkedHashMap<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
/**
* 对静态资源设置匿名访问,
* anon:对应的拦截器不会进行拦截
* authc:必须认证才可以访问
* user:如果使用rememberMe的功能可以直接访问
* perms:该资源必须得到资源权限才可以访问
* role:该资源必须得到角色权限才可以访问
*/
filterChainDefinitionMap.put("/favicon.ico**", "anon");
filterChainDefinitionMap.put("/login", "anon");
filterChainDefinitionMap.put("/css/**", "anon");
filterChainDefinitionMap.put("/h-ui.admin/**", "anon");
filterChainDefinitionMap.put("/fonts/**", "anon");
filterChainDefinitionMap.put("/images/**", "anon");
filterChainDefinitionMap.put("/webjars/**", "anon");
filterChainDefinitionMap.put("/js/**", "anon");
filterChainDefinitionMap.put("/h-ui/**", "anon");
filterChainDefinitionMap.put("/user/login", "anon");
filterChainDefinitionMap.put("/user/register", "anon");
filterChainDefinitionMap.put("/path/toPage/register", "anon");
filterChainDefinitionMap.put("/error/**","anon");
filterChainDefinitionMap.put("/lib/**","anon");
filterChainDefinitionMap.put("/","anon");
filterChainDefinitionMap.put("/temp/**","anon");
filterChainDefinitionMap.put("/imageManage/addImage","perms[imageManage:addImage]");
// // 退出 logout地址,shiro去清除session
// filterChainDefinitionMap.put("/logout", "logout");
// // 不需要拦截的访问
// filterChainDefinitionMap.put("/login", "anon,captchaValidate");
// // 注册相关
// filterChainDefinitionMap.put("/register", "anon,captchaValidate");
// // 系统权限列表
// // filterChainDefinitionMap.putAll(SpringUtils.getBean(IMenuService.class).selectPermsAll());
//
// Map<String, Filter> filters = new LinkedHashMap<String, Filter>();
// filters.put("onlineSession", onlineSessionFilter());
// filters.put("syncOnlineSession", syncOnlineSessionFilter());
// filters.put("captchaValidate", captchaValidateFilter());
// filters.put("kickout", kickoutSessionFilter());
// // 注销成功,则跳转到指定页面
// filters.put("logout", logoutFilter());
// shiroFilterFactoryBean.setFilters(filters);
//
// 所有请求需要认证,必须放到最后面,因为过滤是有顺序的
filterChainDefinitionMap.put("/**", "authc");
//设置一个拦截器链
shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
return shiroFilterFactoryBean;
}
/**
* 安全管理器
*/
@Bean
public SecurityManager securityManager() {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
//设置realm.
securityManager.setRealm(userRealm());
return securityManager;
}
/**
* 创建自定义Realm
* @return
*/
@Bean
public UserRealm userRealm(){
UserRealm userRealm = new UserRealm();
return userRealm;
}
}