shiro学习笔记

一、概念：

shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证、权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。

（一）shiro的功能：

1．验证用户。

2．对用户执行访问控制，如: 判断用户是否拥有角色admin，判断用户是否拥有访问的权限。

3．在任何环境下使用Session API。例如CS程序。

4．可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。

5．单点登录(SSO)功能。

6．"Remember Me"服务，类似购物车的功能，shiro官方建议开启。

（二）整体架构：

（三）名词概念：

1．Subject：

Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。

所有Subject 实例都必须绑定到一个SecurityManager上。我们与一个 Subject交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。

Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。

2．SecurityManager：

SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。

3．Authenticator：

Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。

4．Authorizer：

Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

5．Realm：

Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

6．sessionManager：

sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

7．SessionDAO：

SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。

8．CacheManager：

CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

9．Cryptography：

Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

二、认证流程：

三、一个认证的简单Demo：

（一）添加POM依赖：

 <dependency>

 <groupId>org.apache.shiro</groupId>

     <artifactId>shiro-core</artifactId>

     <version>1.2.3</version>

 </dependency>

（二）配置shiro.ini文件：

 #用户名=密码,角色1,角色2...，角色n

 [users]

 root = secret, admin

 guest = guest, guest

 test = 123456, role1, role2

 # 角色名=权限1，权限2...权限n

 [roles]

 admin = *

 guest = guest

 role1=perm1,perm2

 role2=perm3

（三）代码实现：

 public static void main(String[] args) {

     //1. 这里的SecurityManager是org.apache.shiro.mgt.SecurityManager

     // 而不是java.lang.SecurityManager

     // 加载配置文件

    Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");

     //2.解析配置文件，并且返回一些SecurityManger实例

    SecurityManager securityManager = factory.getInstance();

     //3.将SecurityManager绑定给SecurityUtils

    SecurityUtils.setSecurityManager(securityManager);

     // 安全操作，Subject是当前登录的用户

    Subject currentUser = SecurityUtils.getSubject();

     // 测试在应用的当前会话中设置属性

    Session session = currentUser.getSession();

     //放进去一个key和一个value

    session.setAttribute("someKey", "aValue");

     //根据key拿到value

    String value = (String) session.getAttribute("someKey");

    if ("aValue".equals(value)) {//比较拿到的值和原来的值是否一致

        log.info("检索到正确的值[" + value + "]");

    }

     //尝试进行登录用户，如果登录失败了，我们进行一些处理

    if (!currentUser.isAuthenticated()) {//如果用户没有登录过

        UsernamePasswordToken token = new UsernamePasswordToken("test", "123456");

        token.setRememberMe(true);//是否记住用户

        try {

            currentUser.login(token);

             //当我们获登录用户之后

            log.info("用户 [" + currentUser.getPrincipal() + "] 登陆成功");

             //登出

            currentUser.logout();

        } catch (UnknownAccountException uae) {

            log.info(token.getPrincipal() + "账户不存在");

        } catch (IncorrectCredentialsException ice) {

            log.info(token.getPrincipal() + "密码不正确");

        } catch (LockedAccountException lae) {

            log.info(token.getPrincipal() + "用户被锁定了 ");

        } catch (AuthenticationException ae) {

            log.info(ae.getMessage());    //无法判断是什么错了

        }

    }

 }

（四）自定义Realm：

1、配置Realm：

 <!--自定义Realm -->

 <bean id="myRealm" class="com.ssm.shiro.realm.MyRealm" />

 <!--安全管理 -->

 <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">

     <property name="realm" ref="myRealm"></property>

 </bean>

2、实现代码：

 /*

  * 自定义Realm

  */

 public class CustomRealm extends AuthorizingRealm{

     //设置Realm名称

     @Override

     public void setName(String name){

         super.setName("customRealm");

     }

     //用于认证

     @Override

     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException{

         //1.从token取出用户身份信息

         String userCode = (String)token.getPrincipal();

         //2.根据用户userCode查询数据库

         //模拟从数据库查询到的密码

         String password = "123";

         //查询不到返回null

         //查询到返回认证信息

         SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userCode,password,this.getName());

         return authenticationInfo;

     }

     //用于授权

     @Override

     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){

         return null;

     }

 }

四、与SpringMVC整合的Demo：

1、配置web.xml：

 <!-- 添加shiro过滤器 -->

 <filter>

   <filter-name>shiroFilter</filter-name>

   <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>

 </filter>

 <filter-mapping>

   <filter-name>shiroFilter</filter-name>

   <url-pattern>/*</url-pattern>

 </filter-mapping>

2、配置applicationContext.xml：

 <!--自定义Realm -->

 <bean id="myRealm" class="com.ssm.shiro.realm.MyRealm" />

 <!--安全管理 -->

 <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">

     <property name="realm" ref="myRealm"></property>

 </bean>

 <!--shiro 过滤器 -->

 <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">

     <!-- Shiro过滤器的核心安全接口，这个属性是必须的 -->

     <property name="securityManager" ref="securityManager" />

     <!--身份认证失败，则跳转到登录页面的配置 -->

     <property name="loginUrl" value="/login.jsp" />

     <!--权限认证失败，则跳转到指定页面 -->

     <property name="unauthorizedUrl" value="/unauthorized.jsp" />

     <!-- Shiro连接约束配置，即过滤链的定义 -->

     <property name="filterChainDefinitions">

         <value>

             /login.jsp = anon

             /user/login=anon

             /user/logout = logout

             /admin.jsp=roles[admin]

             /** = authc

         </value>

     </property>

 </bean>

3、实现登陆login：

 @RequestMapping("/login")

 public String login(Entity user, HttpServletRequest request){

     System.out.println("user:"+user.getUsername());

     Subject subject=SecurityUtils.getSubject();

     ByteSource salt =  ByteSource.Util.bytes(user.getUsername());

     //加密

     String getpassword = new Md5Hash(user.getPassword(), salt).toString();

     UsernamePasswordToken token=new UsernamePasswordToken(user.getUsername(),getpassword);

     try {

         //调用subject.login(token)进行登录，会自动委托给securityManager,调用之前

         subject.login(token);//会跳到我们自定义的realm中

         request.getSession().setAttribute("user",user);

         return "success";

     } catch (AuthenticationException ae) {

         //unexpected condition?  error?

         System.out.println("登录失败: " + ae.getMessage());

         return "redirect:/login.jsp";

     }

 }

4、Demo代码例子：

https://github.com/wangshanghello/shiro

巴特西

shiro学习笔记

一、概念：

二、认证流程：

三、一个认证的简单Demo：

四、与SpringMVC整合的Demo：

最新文章

热门文章