Shiro知识总结二

企业开发 2023-04-08 04:18:29 阅读次数: 0

3. 与 Spring Boot 整合

3.1 框架整合

依赖

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring-boot-web-starter</artifactId>
        <version>1.9.1</version>
    </dependency>
    <dependency>
        <groupId>com.baomidou</groupId>
        <artifactId>mybatis-plus-boot-starter</artifactId>
        <version>3.5.2</version>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-devtools</artifactId>
        <scope>runtime</scope>
        <optional>true</optional>
    </dependency>
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <scope>runtime</scope>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-configuration-processor</artifactId>
        <optional>true</optional>
    </dependency>
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <optional>true</optional>
    </dependency>
</dependencies>

配置文件

spring:
  datasource:
    type: com.zaxxer.hikari.HikariDataSource
    driver-class-name: com.cj.mysql.jdbc.Driver
    url: jdbc:mysql://localhost:3306/shiro-db?characterEncoding=utf-8&useSSL=false
    username: root
    password: xxxxxxx
  jackson:
    date-format: yyyy-MM-dd HH:mm:ss
    time-zone: GMT+8
mybatis-plus:
  configuration:
    log-impl: org.apache.ibatis.logging.stdout.StdOutImpl
  mapper-locations: classpath:mapper/*.xml
shiro:
  loginUrl: /myController/login

3.2 登录认证实现

核心代码：

@Configuration
public class ShiroConfig {
    
    

    @Autowired
    private MyRealm myRealm;

    /**
     * 配置 SecurityManager
     */
    @Bean
    public DefaultWebSecurityManager defaultWebSecurityManager() {
    
    
        // 1. 创建 defaultWebSecurityManager 对象
        DefaultWebSecurityManager defaultWebSecurityManager = new
                DefaultWebSecurityManager();
        // 2. 创建加密对象，并设置相关属性
        HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
        // 2.1 采用 md5 加密
        matcher.setHashAlgorithmName("MD5");
        // 2.2 迭代加密次数
        matcher.setHashIterations(3);
        // 3 将加密对象存储到 myRealm 中
        myRealm.setCredentialsMatcher(matcher);
        // 4 将 myRealm 存入 defaultWebSecurityManager 对象
        defaultWebSecurityManager.setRealm(myRealm);
        // 5 返回
        return defaultWebSecurityManager;
    }

    /**
     * 配置 Shiro 内置过滤器拦截范围
     */
    @Bean
    public DefaultShiroFilterChainDefinition shiroFilterChainDefinition() {
    
    
        DefaultShiroFilterChainDefinition chainDefinition
                = new DefaultShiroFilterChainDefinition();
        // 设置不认证可以访问的资源
        chainDefinition.addPathDefinition("/myController/userLogin", "anon");
        chainDefinition.addPathDefinition("/login", "anon");
        // 设置需要进行登录认证的拦截范围
        chainDefinition.addPathDefinition("/**", "authc");
        return chainDefinition;
    }
}

@Component
public class MyRealm extends AuthorizingRealm {
    
    

    @Autowired
    private UserService userService;

    /**
     * 自定义授权方法
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    
    
        return null;
    }

    /**
     * 自定义登录认证方法
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
    
    
        // 1. 获取用户名
        String username = authenticationToken.getPrincipal().toString();
        // 2. 根据用户名查询用户
        User user = userService.getUserInfoByName(username);
        // 3. 判断并将数据完成封装
        if (user != null) {
    
    
            return new SimpleAuthenticationInfo(
                    authenticationToken.getPrincipal(),
                    user.getPwd(),
                    ByteSource.Util.bytes("salt"),
                    username
            );
        }
        return null;
    }
}

3.3 多个 realm 的认证策略设置

3.3.1 实现原理

当应用程序配置多个 Realm 时，例如：用户名密码校验、手机号验证码校验等等。Shiro 的 ModularRealmAuthenticator 会使用内部的

AuthenticationStrategy 组件判断认证是成功还是失败。

AuthenticationStrategy 是一个无状态的组件，它在身份验证尝试中被询问 4 次（这 4 次交互所需的任何必要的状态将被作为方法参

数）:

  1. 在所有 Realm 被调用之前
  2. 在调用 Realm 的 getAuthenticationInfo 方法之前
  3. 在调用 Realm 的 getAuthenticationInfo 方法之后
  4. 在所有 Realm 被调用之后

认证策略的另外一项工作就是聚合所有 Realm 的结果信息封装至一个 AuthenticationInfo 实例中，并将此信息返回，以此作为

Subject 的身份信息。

Shiro 中定义了 3 种认证策略的实现:

AuthenticationStrategy class 描述
AtLeastOneSuccessfulStrategy 只要有一个（或更多）的 Realm 验证成功，那么认证将视为成功
FirstSuccessfulStrategy 第一个 Realm 验证成功，整体认证将视为成功，且后续 Realm 将被忽略
AllSuccessfulStrategy 所有 Realm 成功，认证才视为成功

ModularRealmAuthenticator 内置的认证策略默认实现是 AtLeastOneSuccessfulStrategy 方式。可以通过配置修改策略。

3.3.2 代码实现

核心代码：

/**
 * 配置 SecurityManager
 */
@Bean
public DefaultWebSecurityManager defaultWebSecurityManager() {
    
    
    // 1. 创建 defaultWebSecurityManager 对象
    DefaultWebSecurityManager defaultWebSecurityManager = new
        DefaultWebSecurityManager();
    // 多个 Realm 认证策略配置
    // 2. 创建认证对象，并设置认证策略
    ModularRealmAuthenticator modularRealmAuthenticator = new ModularRealmAuthenticator();
    // 所有 Realm 成功 才算认证成功
    modularRealmAuthenticator.setAuthenticationStrategy(new AllSuccessfulStrategy());
    defaultWebSecurityManager.setAuthenticator(modularRealmAuthenticator);
    // 3. 封装 Realm 集合
    List<Realm> list = new ArrayList<>();
    list.add(myRealm);
    list.add(myRealm2);
    defaultWebSecurityManager.setRealms(list);
    // 4 返回
    return defaultWebSecurityManager;
}

3.4 remember me 功能

Shiro 提供了记住我（RememberMe）的功能，比如访问一些网站时，关闭了浏览器，下次再打开时还是能记住你是谁， 下次访问时无

需再登录即可访问。

基本流程

  1. 首先在登录页面选中 RememberMe 然后登录成功；如果是浏览器登录，一般会把 RememberMe 的 Cookie 写到客户端并保存下

    来；

  2. 关闭浏览器再重新打开；会发现浏览器还是记住你的；

  3. 访问一般的网页服务器端，仍然知道你是谁，且能正常访问；

  4. 但是，如果我们访问电商平台时，如果要查看我的订单或进行支付时，此时还是需要再进行身份认证的，以确保当前用户还是你。

核心代码

@Bean
public DefaultWebSecurityManager defaultWebSecurityManager() {
    
    
    // 1. 创建 defaultWebSecurityManager 对象
    DefaultWebSecurityManager defaultWebSecurityManager = new
        DefaultWebSecurityManager();
    // 2. 创建加密对象，并设置相关属性
    HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
    // 2.1 采用 md5 加密
    matcher.setHashAlgorithmName("MD5");
    // 2.2 迭代加密次数
    matcher.setHashIterations(3);
    // 3 将加密对象存储到 myRealm 中
    myRealm.setCredentialsMatcher(matcher);
    // 4 将 myRealm 存入 defaultWebSecurityManager 对象
    defaultWebSecurityManager.setRealm(myRealm);
    // 设置 rememberMe 功能
    defaultWebSecurityManager.setRememberMeManager(cookieRememberMeManager());
    // 5 返回
    return defaultWebSecurityManager;
}

public SimpleCookie rememberMeCookie() {
    
    
    SimpleCookie simpleCookie = new SimpleCookie("rememberMe");
    // 设置跨域
    // simpleCookie.setDomain("domain");
    simpleCookie.setPath("/");
    simpleCookie.setHttpOnly(true);
    simpleCookie.setMaxAge(30*24*60*60);
    return simpleCookie;
}

public CookieRememberMeManager cookieRememberMeManager() {
    
    
    CookieRememberMeManager cookieRememberMeManager = new CookieRememberMeManager();
    cookieRememberMeManager.setCookie(rememberMeCookie());
    cookieRememberMeManager.setCipherKey("806823".getBytes());
    return cookieRememberMeManager;
}

/**
 * 配置 Shiro 内置过滤器拦截范围
 */
@Bean
public DefaultShiroFilterChainDefinition shiroFilterChainDefinition() {
    
    
    DefaultShiroFilterChainDefinition chainDefinition
        = new DefaultShiroFilterChainDefinition();
    // 设置不认证可以访问的资源
    chainDefinition.addPathDefinition("/myController/userLogin", "anon");
    chainDefinition.addPathDefinition("/myController/login", "anon");
    // 设置需要进行登录认证的拦截范围
    chainDefinition.addPathDefinition("/**", "authc");
    // 添加存在用户的过滤器（ rememberMe ）
    chainDefinition.addPathDefinition("/**", "user");
    return chainDefinition;
}

3.5 用户登录认证后登出

用户登录后，配套的有登出操作。直接通过Shiro过滤器即可实现登出

核心代码

@Bean
public DefaultShiroFilterChainDefinition shiroFilterChainDefinition() {
    
    
    DefaultShiroFilterChainDefinition chainDefinition
        = new DefaultShiroFilterChainDefinition();
    // 设置不认证可以访问的资源
    chainDefinition.addPathDefinition("/myController/userLogin", "anon");
    chainDefinition.addPathDefinition("/myController/login", "anon");
    // 配置登出过滤器
    chainDefinition.addPathDefinition("/logout", "logout");
    // 设置需要进行登录认证的拦截范围
    chainDefinition.addPathDefinition("/**", "authc");
    // 添加存在用户的过滤器（ rememberMe ）
    chainDefinition.addPathDefinition("/**", "user");
    return chainDefinition;
}

3.6 授权、角色认证

3.6.1 授权

用户登录后，需要验证是否具有指定角色指定权限。Shiro 也提供了方便的工具进行判断。

这个工具就是 Realm 的 doGetAuthorizationInfo 方法进行判断。触发权限判断的有两种方式

  1. 在页面中通过shiro:属性判断
  2. 在接口服务中通过注解@Requires进行判断

3.6.2 后端接口服务

通过给接口服务方法添加注解可以实现权限校验，可以加在控制器方法上，也可以加在业务方法上，一般加在控制器方法上。常用注解如

下：

  • @RequiresAuthentication

    验证用户是否登录，等同于方法subject.isAuthenticated()

  • @RequiresUser

    验证用户是否被记忆

    登录认证成功subject.isAuthenticated()为true

    登录后被记忆subject.isRemembered()为true

  • @RequiresGuest

    验证是否是一个guest的请求，是否是游客的请求

    此时subject.getPrincipal()为null

  • @RequiresRoles

    验证subject是否有相应角色，有角色访问方法，没有则会抛出异常 AuthorizationException。

    例如：@RequiresRoles(“aRoleName”)

    void someMethod();

    只有subject有aRoleName角色才能访问方法someMethod()

  • @RequiresPermissions

    验证subject是否有相应权限，有权限访问方法，没有则会抛出异常 AuthorizationException。

    例如：@RequiresPermissions (“file:read”,”wite:aFile.txt”)

    void someMethod();

    subject必须同时含有file:read和wite:aFile.txt权限才能访问方法someMethod()

3.6.3 授权验证- - 没有角色无法访问

核心代码：

@GetMapping("/userLoginRoles")
@RequiresRoles("admin")
@ResponseBody
public String userLoginRoles() {
    
    
    System.out.println("登录认证验证角色");
    return "验证角色成功";
}

image-20221002142404914

image-20221002142219200

image-20221002142333878

3.6.4 授权验证- - 获取角色进行验证

修改MyRealm方法

/**
 * 自定义授权方法：获取当前登录用户权限信息，返回给 Shiro 用来进行授权对比
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    
    
    System.out.println("进入自定义授权方法");
    // 1. 创建对象，存储当前登录的用户的权限和角色
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    // 2. 存储角色
    info.addRole("admin");
    // 3. 返回
    return info;
}

image-20221002142859188

image-20221002142848598

接下来实现对数据库整合进行操作

创建库表

CREATE TABLE `role`
(
    `id`       BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
    `name`     VARCHAR(30) DEFAULT NULL COMMENT '角色名',
    `desc`     VARCHAR(50) DEFAULT NULL COMMENT '描述',
    `realname` VARCHAR(20) DEFAULT NULL COMMENT '角色显示名',
    PRIMARY KEY (`id`)
) ENGINE = INNODB
  AUTO_INCREMENT = 2
  DEFAULT CHARSET = utf8 COMMENT ='角色表';

CREATE TABLE `role_user`
(
    `id`  BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
    `uid` BIGINT(20) DEFAULT NULL COMMENT '用户 id',
    `rid` BIGINT(20) DEFAULT NULL COMMENT '角色 id',
    PRIMARY KEY (`id`)
) ENGINE = INNODB
  AUTO_INCREMENT = 2
  DEFAULT CHARSET = utf8 COMMENT ='角色用户映射表';

image-20221002143842916

image-20221002143908937

根据用户名查询对应角色信息

<!--List<String> getUserRoleInfo(@Param("principal") String principal);-->
<select id="getUserRoleInfo" resultType="java.lang.String">
    select name
    from role
    where id in (select rs.rid
    from role_user rs
    where rs.uid = (select id from user where name = #{principal}));
</select>

MyRealm 方法改造

/**
 * 自定义授权方法：获取当前登录用户权限信息，返回给 Shiro 用来进行授权对比
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    
    
    System.out.println("进入自定义授权方法");
    // 1. 获取当前用户身份信息
    String principal = principalCollection.getPrimaryPrincipal().toString();
    List<String> roles = userService.getUserRoleInfo(principal);
    System.out.println("用户当前身份信息：" + roles);
    // 2. 创建对象，存储当前登录的用户的权限和角色
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.addRoles(roles);
    // 3. 返回
    return info;
}

image-20221002145248679

3.6.5 授权验证- -获取权限进行验证

获取权限验证和获取角色相类似

创建库表

CREATE TABLE `permissions` (
`id` BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
`name` VARCHAR(30) DEFAULT NULL COMMENT '权限名',
`info` VARCHAR(30) DEFAULT NULL COMMENT '权限信息',
`desc` VARCHAR(50) DEFAULT NULL COMMENT '描述',
PRIMARY KEY (`id`)
) ENGINE=INNODB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8 COMMENT='权限表';

image-20221002145617146

CREATE TABLE `role_ps`
(
    `id`  BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
    `rid` BIGINT(20) DEFAULT NULL COMMENT '角色 id',
    `pid` BIGINT(20) DEFAULT NULL COMMENT '权限 id',
    PRIMARY KEY (`id`)
) ENGINE = INNODB
  AUTO_INCREMENT = 2
  DEFAULT CHARSET = utf8 COMMENT ='角色权限映射表';

image-20221002145723381

根据角色名查询对应权限信息

<!--List<String> getUserPermissionInfo(@Param("roles") List<String> roles);-->
<select id="getUserPermissionInfo" resultType="java.lang.String">
    select info from permissions where id in (select pid from role_ps where rid in (select id
    from role
    where name in
    <foreach collection="roles" item="name" open="(" close=")">
        #{name}
    </foreach>))
</select>

MyRealm 方法改造

 protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    
    
     System.out.println("进入自定义授权方法");
     // 1. 获取当前用户身份信息
     String principal = principalCollection.getPrimaryPrincipal().toString();
     List<String> roles = userService.getUserRoleInfo(principal);
     System.out.println("当前用户角色信息：" + roles);
     // 2. 获取该身份对应权限信息
     List<String> permissions = userService.getUserPermissionInfo(roles);
     System.out.println("当前用户权限信息：" + permissions);
     // 2. 创建对象，存储当前登录的用户的权限和角色
     SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
     info.addRoles(roles);
     info.addStringPermissions(permissions);
     // 3. 返回
     return info;
 }

image-20221002151826710

3.6.6 授权验证- -异常处理

核心代码：

/**
 * @description: 认证异常处理类
 * @author: ~Teng~
 * @date: 2022/10/2 15:19
 */
@RestControllerAdvice
public class PermissionsException {
    
    

    @ExceptionHandler(UnauthorizedException.class)
    public String unauthorizedException(Exception ex) {
    
    
        return "无权限";
    }

    @ExceptionHandler(AuthenticationException.class)
    public String authorizationException(Exception ex) {
    
    
        return "权限验证失败";
    }
}

image-20221002152428092

image-20221002152436054

3.6.7 前端页面授权验证

添加依赖

<dependency>
    <groupId>com.github.theborakompanioni</groupId>
    <artifactId>thymeleaf-extras-shiro</artifactId>
    <version>2.1.0</version>
</dependency>

配置类添加新配置

// 用于解析 thymeleaf 中的 shiro:相关属性
@Bean
public ShiroDialect shiroDialect() {
    
    
    return new ShiroDialect();
}

Thymeleaf 中常用的 shiro:属性

guest 标签
<shiro:guest>
</shiro:guest>
用户没有身份验证时显示相应信息，即游客访问信息。

user 标签
<shiro: user >
</shiro:user>
用户已经身份验证/记住我登录后显示相应的信息。

authenticated 标签
<shiro:authenticated>
</shiro:authenticated>
用户已经身份验证通过，即 Subject.login 登录成功，不是记住我登录的。

notAuthenticated 标签
<shiro:notAuthenticated>
</shiro:notAuthenticated>
用户已经身份验证通过，即没有调用 Subject.login 进行登录，包括记住我自动登录的也属于未进行身份验证。

principal 标签
<shiro: principal/>
<shiro:principal property="username"/>
相当于((User)Subject.getPrincipals()).getUsername()。

lacksPermission 标签
<shiro:lacksPermission name="org:create">
</shiro:lacksPermission>
如果当前 Subject 没有权限将显示 body 体内容。

hasRole 标签
<shiro:hasRole name="admin">
</shiro:hasRole>
如果当前 Subject 有角色将显示 body 体内容。

hasAnyRoles 标签
<shiro:hasAnyRoles name="admin,user">
</shiro:hasAnyRoles>
如果当前 Subject 有任意一个角色（或的关系）将显示 body 体内容。

lacksRole 标签
<shiro:lacksRole name="abc">
</shiro:lacksRole>
如果当前 Subject 没有角色将显示 body 体内容。

hasPermission 标签
<shiro:hasPermission name="user:create">
</shiro:hasPermission>
如果当前 Subject 有权限将显示 body 体内容

改造 main.html

<h1>Shiro 登录认证后主页面</h1>
<br>
登录用户为：<span th:text="${session.user}"></span>
<a href="/logout">登出</a>
<br/>
<a shiro:hasRole="admin" href="/myController/userLoginRoles">测试授权-角色验证</a>
<br>
<a shiro:hasPermission="user:delete" href="/myController/userPermissions">测试授权-权限验证</a>

image-20221002153156078

image-20221002153146222

3.7 会话管理

3.7.1 SessionManager

会话管理器，负责创建和管理用户的会话（Session）生命周期，它能够在任何环境中在本地管理用户会话，即使没有Web/Servlet/EJB容

器，也一样可以保存会话。默认情况下，Shiro会检测当前环境中现有的会话机制（比如Servlet容器）进行适配，如果没有（比如独立应

用程序或者非Web环境），它将会使用内置的企业会话管理器来提供相应的会话管理服务，其中还涉及一个名为SessionDAO的对象。

SessionDAO负责Session的持久化操作（CRUD），允许Session数据写入到后端持久化数据库。

3.7.2 会话管理实现

SessionManager 由 SecurityManager 管理。Shiro提供了三种实现

image-20221002153646029

  1. DefaultSessionManager：用于JavaSE环境
  2. ServletContainerSessionManager：用于web环境，直接使用Servlet容器的会话
  3. DefaultWebSessionManager：用于web环境，自己维护会话（不使用Servlet容器的会话管理）

3.7.3 获得 session 方式

// 1. 实现
Session session = SecurityUtils.getSubject().getSession();
session.setAttribute("key", "value");
// 2. 说明
/**
 * Controller 中的 request，在 shiro 过滤器中的 doFilerInternal 方法，被包装成
 * ShiroHttpServletRequest。
 * SecurityManager 和 SessionManager 会话管理器决定 session 来源于 ServletRequest
 * 还是由 Shiro 管理的会话。
 * 无论是通过 request.getSession 或 subject.getSession 获取到 session，操作
 * session，两者都是等价的。
 */

猜你喜欢

转载自blog.csdn.net/m0_52781902/article/details/127143781
今日推荐
基于大语言模型的开源知识库问答系统 MaxKB GitHub Star 数量突破 5,000 个！
美国拟限制 AI 大模型出口中国和俄罗斯
苹果将与 OpenAI 达成协议，将 ChatGPT 应用于 iPhone
openKylin 社区生态委员会第六次会议圆满召开
阿里云正式发布通义千问 2.5
Python 3.13 发布首个 Beta：实验性自由线程模式和 JIT、改进交互式解释器
Stack Overflow 拿我的代码去训练 AI 大模型，还封了我的账号
Pop!_OS 的 COSMIC 桌面完成 App Store 上架工作
报告：Django 仍然是 74% 开发者的首选
《2024 年一季度互联网投融资运行情况》研究报告
15 年前上了“FFmpeg 耻辱柱”，今天他还得谢谢咱——腾讯QQPlayer一雪前耻？
TIOBE 5 月榜单：Fortran “复活”进入 Top 10
周排行
BPM为企业带来的实际利益
好程序员web前端分享css常用属性缩写
Java文件下载（excel）
css样式的动态添加及显示和隐藏等零碎用法
axios全局配置以及拦截器
使用Logstash来实时同步MySQL和log日志数据到ES
C++获取当前时间（年月日、时分秒、毫秒）
Odoo产品分析 (四) -- 工具板块(11) -- 网站即时聊天(1)
Java环境配置正确，但是java、javac、java -version均返回“不是内部或外部命令，也不是可运行的程序或批处理文件”？
01 官网下载各种CentOS教程（超详细版）
每日归档
更多
2024-05-14(0)
2024-05-13(18)
2024-05-12(0)
2024-05-11(38)
2024-05-10(38)
2024-05-09(35)
2024-05-08(42)
2024-05-07(14)
2024-05-06(40)
2024-05-05(0)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022