1. 什麼是shirohtml
shiro是apache的一個開源框架,是一個權限管理的框架,實現 用戶認證、用戶受權。前端
spring中有spring security (原名Acegi),是一個權限框架,它和spring依賴過於緊密,沒有shiro使用簡單。java
shiro不依賴於spring,shiro不只能夠實現 web應用的權限管理,還能夠實現c/s系統,linux
分佈式系統權限管理,shiro屬於輕量框架,愈來愈多企業項目開始使用shiro。web
2. 在應用程序角度來觀察如何使用Shiro完成工做(圖01)redis
Subject:主體,表明了當前「用戶」,這個用戶不必定是一個具體的人,與當前應用交互的任何東西都是Subject,如網絡爬蟲,機器人等;即一個抽象概念;全部Subject 都綁定到SecurityManager,與Subject的全部交互都會委託給SecurityManager;能夠把Subject認爲是一個門面;SecurityManager纔是實際的執行者;算法
SecurityManager:安全管理器;即全部與安全有關的操做都會與SecurityManager 交互;且它管理着全部Subject;能夠看出它是Shiro 的核心,它負責與後邊介紹的其餘組件進行交互,若是學習過SpringMVC,你能夠把它當作DispatcherServlet前端控制器;spring
Realm:域,Shiro從從Realm獲取安全數據(如用戶、角色、權限),就是說SecurityManager要驗證用戶身份,那麼它須要從Realm獲取相應的用戶進行比較以肯定用戶身份是否合法;也須要從Realm獲得用戶相應的角色/權限進行驗證用戶是否能進行操做;能夠把Realm當作DataSource,即安全數據源。數據庫
3. shiro架構(圖02)apache
3.1 subject:主體,能夠是用戶也能夠是程序,主體要訪問系統,系統須要對主體進行認證、受權。
3.2 securityManager:安全管理器,主體進行認證和受權都是經過securityManager進行。securityManager是一個集合,
真正作事的不是securityManager而是它裏面的東西。
3.3 authenticator:認證器,主體進行認證最終經過authenticator進行的。
3.4 authorizer:受權器,主體進行受權最終經過authorizer進行的。
3.5 sessionManager:web應用中通常是用web容器(中間件tomcat)對session進行管理,shiro也提供一套session管理的方式。
shiro不只僅能夠用於web管理也能夠用於cs管理,因此他不用web容器的session管理。
3.6 SessionDao: 經過SessionDao管理session數據,針對個性化的session數據存儲須要使用sessionDao
(若是用tomcat管理session就不用SessionDao,若是要分佈式的統一管理session就要用到SessionDao)。
3.7 cache Manager:緩存管理器,主要對session和受權數據進行緩存(權限管理框架主要就是對認證和受權進行管理,
session是在服務器緩存中的),好比將受權數據經過cacheManager進行緩存管理,
和ehcache整合對緩存數據進行管理(redis是緩存框架)。
3.8 realm:域,領域,至關於數據源,經過realm存取認證、受權相關數據(原來是經過數據庫取的)。
注意:authenticator認證器和authorizer受權器調用realm中存儲受權和認證的數據和邏輯。
3.9 cryptography:密碼管理,好比md5加密,提供了一套加密/解密的組件,方便開發。好比提供經常使用的散列、加/解密等功能。好比 md5散列算法(md5只有加密沒有解密)。
準備工做:
一、導入相關依賴
二、編寫shiro.ini文件
log4j2.xml
1 <?xml version="1.0" encoding="UTF-8"?> 2 <!-- status : 指定log4j自己的打印日誌的級別.ALL< Trace < DEBUG < INFO < WARN < ERROR 3 < FATAL < OFF。 monitorInterval : 用於指定log4j自動從新配置的監測間隔時間,單位是s,最小是5s. --> 4 <Configuration status="WARN" monitorInterval="30"> 5 <Properties> 6 <!--window配置--> 7 <!--配置日誌文件輸出目錄 ${sys:user.home}--> 8 <Property name="LOG_HOME">${sys:user.home}/logs</Property> 9 <property name="ERROR_LOG_FILE_NAME">${sys:user.home}/logs/error</property> 10 <property name="WARN_LOG_FILE_NAME">${sys:user.home}/logs/warn</property> 11 12 <!--linux ubuntu配置--> 13 <!--請在操做系統中配置環境變量catalina_home--> 14 <!--<Property name="LOG_HOME">${catalina_home}/logs</Property>--> 15 <!--<property name="ERROR_LOG_FILE_NAME">${catalina_home}/logs/error</property>--> 16 <!--<property name="WARN_LOG_FILE_NAME">${catalina_home}/logs/warn</property>--> 17 18 <!--配置日誌格式--> 19 <property name="PATTERN">%d{yyyy-MM-dd HH:mm:ss.SSS} [%t-%L] %-5level %logger{36} - %msg%n</property> 20 <!--<property name="PATTERN">%n Level: %p%n Time: %d%n Method: %l%nMessage: %m%n</property>--> 21 </Properties> 22 23 <Appenders> 24 <!--這個輸出控制檯的配置 --> 25 <Console name="Console" target="SYSTEM_OUT"> 26 <!-- 控制檯只輸出level及以上級別的信息(onMatch),其餘的直接拒絕(onMismatch) --> 27 <ThresholdFilter level="trace" onMatch="ACCEPT" 28 onMismatch="DENY"/> 29 <!-- 輸出日誌的格式 --> 30 <!-- %d{yyyy-MM-dd HH:mm:ss, SSS} : 日誌生產時間 %p : 日誌輸出格式 %c : logger的名稱 31 %m : 日誌內容,即 logger.info("message") %n : 換行符 %C : Java類名 %L : 日誌輸出所在行數 %M 32 : 日誌輸出所在方法名 hostName : 本地機器名 hostAddress : 本地ip地址 --> 33 <PatternLayout pattern="${PATTERN}"/> 34 </Console> 35 36 <!--文件會打印出全部信息,這個log每次運行程序會自動清空,由append屬性決定,這個也挺有用的,適合臨時測試用 --> 37 <!--append爲TRUE表示消息增長到指定文件中,false表示消息覆蓋指定的文件內容,默認值是true --> 38 <File name="log" fileName="logs/test.log" append="false"> 39 <PatternLayout 40 pattern="%d{yyyy-MM-dd HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"/> 41 </File> 42 <!-- 這個會打印出全部的info及如下級別的信息,每次大小超過size, 則這size大小的日誌會自動存入按年份-月份創建的文件夾下面並進行壓縮,做爲存檔 --> 43 <RollingFile name="RollingFileInfo" fileName="${LOG_HOME}/info.log" 44 filePattern="${LOG_HOME}/$${date:yyyy-MM}/info-%d{yyyy-MM-dd}-%i.log"> 45 <!--控制檯只輸出level及以上級別的信息(onMatch),其餘的直接拒絕(onMismatch) --> 46 <ThresholdFilter level="info" onMatch="ACCEPT" 47 onMismatch="DENY"/> 48 <PatternLayout 49 pattern="%d{yyyy-MM-dd HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"/> 50 <Policies> 51 <!-- 基於時間的滾動策略,interval屬性用來指定多久滾動一次,默認是1 hour。 modulate=true用來調整時間:好比如今是早上3am,interval是4,那麼第一次滾動是在4am,接着是8am,12am...而不是7am. --> 52 <!-- 關鍵點在於 filePattern後的日期格式,以及TimeBasedTriggeringPolicy的interval, 日期格式精確到哪一位,interval也精確到哪個單位 --> 53 <!-- log4j2的按天分日誌文件 : info-%d{yyyy-MM-dd}-%i.log --> 54 <TimeBasedTriggeringPolicy interval="1" 55 modulate="true"/> 56 <!-- SizeBasedTriggeringPolicy:Policies子節點, 基於指定文件大小的滾動策略,size屬性用來定義每一個日誌文件的大小. --> 57 <!-- <SizeBasedTriggeringPolicy size="2 kB" /> --> 58 </Policies> 59 </RollingFile> 60 61 <RollingFile name="RollingFileWarn" fileName="${WARN_LOG_FILE_NAME}/warn.log" 62 filePattern="${WARN_LOG_FILE_NAME}/$${date:yyyy-MM}/warn-%d{yyyy-MM-dd}-%i.log"> 63 <ThresholdFilter level="warn" onMatch="ACCEPT" 64 onMismatch="DENY"/> 65 <PatternLayout 66 pattern="%d{yyyy-MM-dd HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"/> 67 <Policies> 68 <TimeBasedTriggeringPolicy/> 69 <SizeBasedTriggeringPolicy size="2 kB"/> 70 </Policies> 71 <!-- DefaultRolloverStrategy屬性如不設置,則默認爲最多同一文件夾下7個文件,這裏設置了20 --> 72 <DefaultRolloverStrategy max="20"/> 73 </RollingFile> 74 75 <RollingFile name="RollingFileError" fileName="${ERROR_LOG_FILE_NAME}/error.log" 76 filePattern="${ERROR_LOG_FILE_NAME}/$${date:yyyy-MM}/error-%d{yyyy-MM-dd-HH-mm}-%i.log"> 77 <ThresholdFilter level="error" onMatch="ACCEPT" 78 onMismatch="DENY"/> 79 <PatternLayout 80 pattern="%d{yyyy-MM-dd HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n"/> 81 <Policies> 82 <!-- log4j2的按分鐘 分日誌文件 : warn-%d{yyyy-MM-dd-HH-mm}-%i.log --> 83 <TimeBasedTriggeringPolicy interval="1" 84 modulate="true"/> 85 <!-- <SizeBasedTriggeringPolicy size="10 MB" /> --> 86 </Policies> 87 </RollingFile> 88 89 </Appenders> 90 91 <!--而後定義logger,只有定義了logger並引入的appender,appender纔會生效 --> 92 <Loggers> 93 <!-- 第三方日誌系統 --> 94 <!--過濾掉spring和mybatis的一些無用的DEBUG信息 --> 95 <logger name="org.springframework" level="ERROR"></logger> 96 <logger name="org.mybatis" level="ERROR"></logger> 97 <logger name="org.apache.ibatis" level="ERROR"></logger> 98 <logger name="net.sf" level="ERROR"/> 99 <logger name="org.jboss" level="ERROR"/> 100 <logger name="org.apache.shiro" level="ERROR"/> 101 102 103 <!-- 配置日誌的根節點 --> 104 <root level="all"> 105 <appender-ref ref="Console"/> 106 <!--<appender-ref ref="RollingFileInfo" />--> 107 <!--<appender-ref ref="RollingFileWarn" />--> 108 <!--<appender-ref ref="RollingFileError" />--> 109 </root> 110 </Loggers> 111 112 </Configuration>
導入pom依賴
pom.xml
1 <?xml version="1.0" encoding="UTF-8"?> 2 3 <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 4 xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd"> 5 <modelVersion>4.0.0</modelVersion> 6 7 <groupId>com.yuan</groupId> 8 <artifactId>shiro01</artifactId> 9 <version>1.0-SNAPSHOT</version> 10 <packaging>war</packaging> 11 12 <name>shiro01 Maven Webapp</name> 13 <!-- FIXME change it to the project's website --> 14 <url>http://www.example.com</url> 15 16 <properties> 17 <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding> 18 <maven.compiler.source>1.7</maven.compiler.source> 19 <maven.compiler.target>1.7</maven.compiler.target> 20 <maven.compiler.plugin.version>3.7.0</maven.compiler.plugin.version> 21 22 <!-- 添加相關依賴 --> 23 <junit.version>4.12</junit.version> 24 <servlet.version>4.0.0</servlet.version> 25 <log4j2.version>2.9.1</log4j2.version> 26 <slf4j.version>1.7.7</slf4j.version> 27 <log4j2.disruptor.version>3.2.0</log4j2.disruptor.version> 28 29 <shiro.version>1.2.5</shiro.version> 30 </properties> 31 32 33 <dependencies> 34 <!-- shiro核心包 --> 35 <dependency> 36 <groupId>org.apache.shiro</groupId> 37 <artifactId>shiro-core</artifactId> 38 <version>${shiro.version}</version> 39 </dependency> 40 <!-- 添加shiro web支持 --> 41 <dependency> 42 <groupId>org.apache.shiro</groupId> 43 <artifactId>shiro-web</artifactId> 44 <version>${shiro.version}</version> 45 </dependency> 46 <!--**********junit**********--> 47 <dependency> 48 <groupId>junit</groupId> 49 <artifactId>junit</artifactId> 50 <version>${junit.version}</version> 51 <scope>test</scope> 52 </dependency> 53 <!--**********servlet**********--> 54 <dependency> 55 <groupId>javax.servlet</groupId> 56 <artifactId>javax.servlet-api</artifactId> 57 <version>${servlet.version}</version> 58 <scope>provided</scope> 59 </dependency> 60 <!-- ********************** 日誌配置 ********************** --> 61 <dependency> 62 <groupId>org.slf4j</groupId> 63 <artifactId>slf4j-api</artifactId> 64 <version>${slf4j.version}</version> 65 </dependency> 66 <dependency> 67 <groupId>org.slf4j</groupId> 68 <artifactId>jcl-over-slf4j</artifactId> 69 <version>${slf4j.version}</version> 70 <scope>runtime</scope> 71 <exclusions> 72 <exclusion> 73 <artifactId>slf4j-api</artifactId> 74 <groupId>org.slf4j</groupId> 75 </exclusion> 76 </exclusions> 77 </dependency> 78 <!--2) 用於與slf4j保持橋接--> 79 <dependency> 80 <groupId>org.apache.logging.log4j</groupId> 81 <artifactId>log4j-slf4j-impl</artifactId> 82 <version>${log4j2.version}</version> 83 <exclusions> 84 <exclusion> 85 <artifactId>slf4j-api</artifactId> 86 <groupId>org.slf4j</groupId> 87 </exclusion> 88 </exclusions> 89 </dependency> 90 <!--3) 核心log4j2jar包--> 91 <dependency> 92 <groupId>org.apache.logging.log4j</groupId> 93 <artifactId>log4j-api</artifactId> 94 <version>${log4j2.version}</version> 95 </dependency> 96 <dependency> 97 <groupId>org.apache.logging.log4j</groupId> 98 <artifactId>log4j-core</artifactId> 99 <version>${log4j2.version}</version> 100 </dependency> 101 <!--4) web工程須要包含log4j-web,非web工程不須要--> 102 <dependency> 103 <groupId>org.apache.logging.log4j</groupId> 104 <artifactId>log4j-web</artifactId> 105 <version>${log4j2.version}</version> 106 <scope>runtime</scope> 107 </dependency> 108 <!--5) 須要使用log4j2的AsyncLogger須要包含disruptor--> 109 <dependency> 110 <groupId>com.lmax</groupId> 111 <artifactId>disruptor</artifactId> 112 <version>${log4j2.disruptor.version}</version> 113 </dependency> 114 115 </dependencies> 116 117 118 <build> 119 <finalName>shiro01</finalName> 120 <resources> 121 <!--解決mybatis-generator-maven-plugin運行時沒有將XxxMapper.xml文件放入target文件夾的問題--> 122 <resource> 123 <directory>src/main/java</directory> 124 <includes> 125 <include>**/*.xml</include> 126 </includes> 127 </resource> 128 <!--解決mybatis-generator-maven-plugin運行時沒有將jdbc.properites文件放入target文件夾的問題--> 129 <resource> 130 <directory>src/main/resources</directory> 131 <includes> 132 <include>*.properties</include> 133 <include>*.xml</include> 134 <include>*.ini</include> 135 </includes> 136 </resource> 137 </resources> 138 <pluginManagement><!-- lock down plugins versions to avoid using Maven defaults (may be moved to parent pom) --> 139 <plugins> 140 <!-- 編碼和編譯和JDK版本 --> 141 <plugin> 142 <groupId>org.apache.maven.plugins</groupId> 143 <artifactId>maven-compiler-plugin</artifactId> 144 <version>${maven.compiler.plugin.version}</version> 145 <configuration> 146 <source>${maven.compiler.source}</source> 147 <target>${maven.compiler.target}</target> 148 <encoding>${project.build.sourceEncoding}</encoding> 149 </configuration> 150 </plugin> 151 152 153 <plugin> 154 <artifactId>maven-clean-plugin</artifactId> 155 <version>3.1.0</version> 156 </plugin> 157 <!-- see http://maven.apache.org/ref/current/maven-core/default-bindings.html#Plugin_bindings_for_war_packaging --> 158 <plugin> 159 <artifactId>maven-resources-plugin</artifactId> 160 <version>3.0.2</version> 161 </plugin> 162 <plugin> 163 <artifactId>maven-compiler-plugin</artifactId> 164 <version>3.8.0</version> 165 </plugin> 166 <plugin> 167 <artifactId>maven-surefire-plugin</artifactId> 168 <version>2.22.1</version> 169 </plugin> 170 <plugin> 171 <artifactId>maven-war-plugin</artifactId> 172 <version>3.2.2</version> 173 </plugin> 174 <plugin> 175 <artifactId>maven-install-plugin</artifactId> 176 <version>2.5.2</version> 177 </plugin> 178 <plugin> 179 <artifactId>maven-deploy-plugin</artifactId> 180 <version>2.8.2</version> 181 </plugin> 182 </plugins> 183 </pluginManagement> 184 </build> 185 186 </project>
shiro.ini
1 [users] 2 zs=123 3 ls=456 4 ww=789
Demo01
1 package com.yuan.shiro; 2 3 import org.apache.shiro.SecurityUtils; 4 import org.apache.shiro.authc.AuthenticationException; 5 import org.apache.shiro.authc.UsernamePasswordToken; 6 import org.apache.shiro.config.Ini; 7 import org.apache.shiro.config.IniSecurityManagerFactory; 8 import org.apache.shiro.mgt.SecurityManager; 9 import org.apache.shiro.subject.Subject; 10 11 public class Demo1 { 12 public static void main(String[] args) { 13 /* 14 一、獲取到安全管理器securityManagerFactory 15 二、獲取到安全管理器 16 三、將安全管理器交給securityutil工具類 17 四、從securityutil中獲取subject 18 五、經過subject主體作登入 19 六、處理登陸結果(是否登陸成功) 20 */ 21 IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro.ini"); 22 SecurityManager securityManager = factory.getInstance(); 23 SecurityUtils.setSecurityManager(securityManager); 24 Subject subject = SecurityUtils.getSubject(); 25 // 模擬接受到了jsp從前端jsp傳遞過來的用戶名去完成登陸操做 26 String uname = "zs"; 27 String pwd = "123"; 28 UsernamePasswordToken token = new UsernamePasswordToken(uname, pwd); 29 try { 30 subject.login(token); 31 System.out.println("登陸成功!!!"); 32 } catch (AuthenticationException e) { 33 System.out.println("登陸失敗!!!"); 34 } 35 36 37 38 } 39 }
修改web.xml
1 <web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee" 2 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 3 xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd" 4 version="3.1"> 5 <display-name>Archetype Created Web Application</display-name> 6 <context-param> 7 <param-name>shiroConfigLocations</param-name> 8 <param-value>classpath:shiro-web.ini</param-value> 9 </context-param> 10 <listener> 11 <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class> 12 </listener> 13 14 <filter> 15 <filter-name>ShiroFilter</filter-name> 16 <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class> 17 </filter> 18 <filter-mapping> 19 <filter-name>ShiroFilter</filter-name> 20 <url-pattern>/*</url-pattern> 21 </filter-mapping> 22 23 </web-app>
shiro-web.xml
1 [main] 2 #定義身份認證失敗後的請求url映射,loginUrl是身份認證過濾器中的一個屬性 3 authc.loginUrl=/login 4 #定義角色認證失敗後的請求url映射,unauthorizedUrl是角色認證過濾器中的一個屬性 5 roles.unauthorizedUrl=/unauthorized.jsp 6 #定義權限認證失敗後請求url映射,unauthorizedUrl是角色認證過濾器中的一個屬性 7 perms.unauthorizedUrl=/unauthorized.jsp 8 9 [users] 10 zs=123,role1 11 ls=123,role2 12 ww=123,role3 13 zdm=123,admin 14 15 16 [roles] 17 role1=user:create 18 role2=user:create,user:update 19 role3=user:create,user:update,user:delete,user:view,user:load 20 admin=user:* 21 22 23 24 #定義請求的地址須要作什麼驗證 25 [urls] 26 #請求login的時候不須要權限,遊客身份便可(anon) 27 /login.do=anon 28 29 #請求/user/updatePwd.jsp的時候,須要身份認證(authc) 30 /user/updatePwd.jsp=authc 31 32 #請求/admin的時候,須要角色認證,必須是擁有admin角色的用戶才行 33 /admin/*.jsp=roles[admin] 34 35 #請求/teacher的時候,須要權限認證,必須是擁有user:create權限的角色的用戶才行 36 /user/teacher.jsp=perms["user:update"]
login.jsp
1 <%@ page contentType="text/html;charset=UTF-8" language="java" %> 2 <html> 3 <head> 4 <title>Title</title> 5 </head> 6 <body> 7 <h1>用戶登錄</h1> 8 <div style="color: red">${message}</div> 9 <form action="${pageContext.request.contextPath}/login" method="post"> 10 賬號:<input type="text" name="username"><br> 11 密碼:<input type="password" name="password"><br> 12 <input type="submit" value="肯定"> 13 <input type="reset" value="重置"> 14 </form> 15 </body> 16 </html>
main.jsp
1 <%@ page contentType="text/html;charset=UTF-8" language="java" %> 2 <%@taglib prefix="r" uri="http://shiro.apache.org/tags" %> 3 <html> 4 <head> 5 <title>Title</title> 6 </head> 7 <body> 8 <h1>主界面<%=System.currentTimeMillis()%>,歡迎您:[${sessionScope.username}]</h1> 9 <ul> 10 系統功能列表 11 <li> 12 <a href="admin/addUser.jsp">用戶新增</a> 13 </li> 14 <li> 15 <a href="admin/listUser.jsp">用戶查詢</a> 16 </li> 17 <li> 18 <a href="admin/resetPwd.jsp">重置用戶密碼</a> 19 </li> 20 <li> 21 <a href="admin/updateUser.jsp">用戶修改</a> 22 </li> 23 <li> 24 <a href="user/updatePwd.jsp">我的密碼修改</a> 25 </li> 26 <li> 27 <a href="user/teacher.jsp">老師簡介</a> 28 </li> 29 <li> 30 <a href="${pageContext.request.contextPath}/logout">退出系統</a> 31 </li> 32 </ul> 33 <ul> 34 shiro標籤 35 <li> 36 <r:hasPermission name="user:create"> 37 <a href="admin/addUser.jsp">用戶新增</a> 38 </r:hasPermission> 39 </li> 40 <li> 41 <a href="admin/listUser.jsp">用戶查詢</a> 42 </li> 43 <li> 44 <a href="admin/resetPwd.jsp">重置用戶密碼</a> 45 </li> 46 <li> 47 <r:hasPermission name="user:update"> 48 <a href="admin/updateUser.jsp">用戶修改</a> 49 </r:hasPermission> 50 </li> 51 <li> 52 <a href="user/updatePwd.jsp">我的密碼修改</a> 53 </li> 54 <li> 55 <a href="${pageContext.request.contextPath}/logout">退出系統</a> 56 </li> 57 </ul> 58 </body> 59 </html>
unauthorized.jsp
1 <%@ page contentType="text/html;charset=UTF-8" language="java" %> 2 <html> 3 <head> 4 <title>Title</title> 5 </head> 6 <body> 7 <h1>未受權的操做</h1> 8 <div> 9 未受權的操做,請與管理員聯繫,或切換賬號從新<a href="${pageContext.request.contextPath}/logout">登錄</a>後再試! 10 </div> 11 </body> 12 </html>
登陸界面
登陸成功
登陸用戶的權限限制