在Shiro中，Realm是一个非常灵活和强大的安全组件，它能够与各种数据源进行集成，满足各种安全需求。通过实现自定义的Realm，我们可以轻松地定制身份验证、授权和加密逻辑，实现更加细粒度的访问控制。在使用Realm时，我们需要将其配置到SecurityManager中，并通过配置文件或编程方式来指定使用哪些Realm。Shiro提供了多个默认的Realm实现，例如IniRealm和JdbcRealm，我们也可以通过继承AbstractAuthorizingRealm或AbstractAuthenticatingRealm来创建自定义的Realm实现。
Realm的作用
Realm的主要作用是执行身份验证和授权操作。当一个Subject需要进行身份验证时，它会调用SecurityManager中的authenticate方法，该方法会委托给所有配置的Realm来进行身份验证。当验证成功后，Realm会返回一个SimpleAuthenticationInfo对象，其中包含了身份验证信息（如用户名、密码等），这些信息会在会话管理中使用。
当一个Subject需要进行授权操作时，它会调用SecurityManager中的authorize方法，该方法会委托给所有配置的Realm来进行授权操作。Realm会返回一个AuthorizationInfo对象，其中包含了该Subject的所有权限信息（如角色、权限等），这些信息会被用于控制Subject在应用程序中的访问权限。
除了身份验证和授权操作之外，Realm还可以用于加密和解密操作。例如，使用Realm中的CredentialsMatcher接口可以对密码进行加密和验证。
Realm的实现
Realm是一个接口，它定义了一系列方法，用于处理身份验证和授权操作。在实际应用中，我们可以通过实现自定义的Realm来满足不同的安全需求。Shiro提供了多个默认的Realm实现，包括：
- IniRealm：通过一个INI配置文件来存储用户、角色和权限信息。
- JdbcRealm：通过JDBC来访问数据库，存储用户、角色和权限信息。
- ActiveDirectoryRealm：通过LDAP协议来访问Active Directory，存储用户、角色和权限信息。
- LdapRealm：通过LDAP协议来访问LDAP服务器，存储用户、角色和权限信息。
- TextConfigurationRealm：通过一个文本文件来存储用户、角色和权限信息。
此外，我们也可以通过继承AbstractAuthorizingRealm或AbstractAuthenticatingRealm来创建自定义的Realm实现。
Realm的配置
在使用Realm时，我们需要将其配置到SecurityManager中。Shiro提供了一个ini配置文件来方便地进行配置。在ini配置文件中，我们可以使用[main]部分来配置SecurityManager，并通过配置securityManager.realms属性来指定使用哪些Realm。
例如，下面的配置文件中使用了IniRealm和JdbcRealm来实现身份验证和授权操作：
[main]
securityManager.realms = $iniRealm, $jdbcRealm
[iniRealm]
# IniRealm的配置
[jdbcRealm]
# JdbcRealm的配置
在实际应用中，我们也可以通过编程方式来配置Realm，例如：
IniRealm iniRealm = new IniRealm("classpath:shiro.ini");
JdbcRealm jdbcRealm = new JdbcRealm();
securityManager.setRealms(Arrays.asList(iniRealm, jdbcRealm));
实例
下面是一个自定义的Realm实现，该Realm实现基于数据库进行身份验证和授权操作：
public class CustomRealm extends AuthorizingRealm {
private UserService userService; // UserService为自定义的用户服务接口
public CustomRealm(UserService userService) {
this.userService = userService;
}
/**
* 认证方法，用于身份验证
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
UsernamePasswordToken upToken = (UsernamePasswordToken) token;
String username = upToken.getUsername();
User user = userService.getUserByUsername(username);
if (user == null) {
throw new UnknownAccountException("用户不存在");
}
String password = user.getPassword(); // 从数据库中获取密码
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, password, getName());
return info;
}
/**
* 授权方法，用于权限控制
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
String username = (String) principals.getPrimaryPrincipal();
User user = userService.getUserByUsername(username);
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
for (Role role : user.getRoles()) {
info.addRole(role.getName()); // 添加角色
for (Permission permission : role.getPermissions()) {
info.addStringPermission(permission.getName()); // 添加权限
}
}
return info;
}
}
上述代码中，CustomRealm继承了AuthorizingRealm类，并实现了doGetAuthenticationInfo和doGetAuthorizationInfo方法，用于身份验证和授权操作。在认证方法中，我们首先从传入的token中获取用户名，然后通过userService从数据库中获取用户信息，如果用户不存在则抛出异常，否则将密码信息封装在SimpleAuthenticationInfo对象中返回。
在授权方法中，我们首先从PrincipalCollection中获取用户名，然后通过userService从数据库中获取用户信息。我们将用户的所有角色和权限信息添加到SimpleAuthorizationInfo对象中，并将该对象返回。这样，当Subject需要进行授权操作时，CustomRealm就会被调用，返回该Subject的所有权限信息。
需要注意的是，CustomRealm中的userService需要通过构造函数进行注入，以便从外部获取用户信息。另外，在使用CustomRealm时，我们需要将其配置到SecurityManager中。例如，下面的代码演示了如何将CustomRealm配置到SecurityManager中：
CustomRealm customRealm = new CustomRealm(userService);
DefaultSecurityManager securityManager = new DefaultSecurityManager();
securityManager.setRealm(customRealm);
SecurityUtils.setSecurityManager(securityManager);
通过上述代码，我们可以将CustomRealm配置到SecurityManager中，并使用该SecurityManager进行身份验证和授权操作。
除了上述示例中的基于数据库的自定义Realm实现，我们还可以根据具体的业务需求，实现各种自定义Realm，例如：
- 基于LDAP的Realm：通过LDAP协议验证用户身份和获取用户授权信息。
- 基于OAuth的Realm：通过OAuth协议验证用户身份和获取用户授权信息。
- 基于第三方API的Realm：通过调用第三方API验证用户身份和获取用户授权信息。
下面是一个基于LDAP的自定义Realm示例：
public class LdapRealm extends AuthenticatingRealm {
private LdapContextFactory contextFactory;
public LdapRealm(LdapContextFactory contextFactory) {
this.contextFactory = contextFactory;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
UsernamePasswordToken upToken = (UsernamePasswordToken) token;
String username = upToken.getUsername();
String password = new String(upToken.getPassword());
try {
LdapContext ldapContext = contextFactory.getLdapContext(username, password);
ldapContext.close();
} catch (AuthenticationException e) {
throw new IncorrectCredentialsException("用户名或密码不正确");
} catch (NamingException e) {
throw new AuthenticationException("无法连接到LDAP服务器");
}
return new SimpleAuthenticationInfo(username, password, getName());
}
}
在上述代码中，我们实现了基于LDAP协议的身份验证逻辑。我们通过 LdapContextFactory获取LDAP连接，并使用用户名和密码进行身份验证。如果验证失败，则抛出异常；否则将用户名和密码封装在SimpleAuthenticationInfo对象中返回。
需要注意的是，LdapContextFactory是一个自定义的工厂类，用于创建LDAP连接。该工厂类需要根据具体的LDAP服务器配置进行实现。
通过自定义Realm实现，我们可以灵活地扩展Shiro的功能，满足各种不同的安全需求。