shiro之身份認證

一、首先經過new IniSecurityManagerFactory並指定一個ini配置文件來建立一個SecurityManager工廠；
Factory< org.apache.shiro.mgt.SecurityManager > factory = new IniSecurityManagerFactory("classpath:shiro.ini");

二、接着獲取SecurityManager並綁定到SecurityUtils，這是一個全局設置，設置一次便可；
org.apache.shiro.mgt.SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);

三、經過SecurityUtils獲得Subject，其會自動綁定到當前線程；若是在web環境在請求結束時須要解除綁定；而後獲取身份驗證的Token，如用戶名/密碼；
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");

四、調用subject.login方法進行登陸，其會自動委託給SecurityManager.login方法進行登陸；
try {
//四、登陸，即身份驗證
subject.login(token);
} catch (AuthenticationException e) {
//五、身份驗證失敗
}

五、若是身份驗證失敗請捕獲AuthenticationException或其子類，常見的如： DisabledAccountException（禁用的賬號）、LockedAccountException（鎖定的賬號）、UnknownAccountException（錯誤的賬號）、ExcessiveAttemptsException（登陸失敗次數過多）、IncorrectCredentialsException （錯誤的憑證）、ExpiredCredentialsException（過時的憑證）等，具體請查看其繼承關係；對於頁面的錯誤消息展現，最好使用如「用戶名/密碼錯誤」而不是「用戶名錯誤」/「密碼錯誤」，防止一些惡意用戶非法掃描賬號庫；

六、最後能夠調用subject.logout退出，其會自動委託給SecurityManager.logout方法退出。
subject.logout();

從如上代碼可總結出身份驗證的步驟：
一、收集用戶身份/憑證，即如用戶名/密碼；
二、調用Subject.login進行登陸，若是失敗將獲得相應的AuthenticationException異常，根據異常提示用戶錯誤信息；不然登陸成功；
三、最後調用Subject.logout進行退出操做。

如上測試的幾個問題：
一、用戶名/密碼硬編碼在ini配置文件，之後須要改爲如數據庫存儲，且密碼須要加密存儲；
二、用戶身份Token可能不只僅是用戶名/密碼，也可能還有其餘的，如登陸時容許用戶名/郵箱/手機號同時登陸。

身份認證流程：

流程以下：
一、首先調用Subject.login(token)進行登陸，其會自動委託給Security Manager，調用以前必須經過SecurityUtils. setSecurityManager()設置；
二、SecurityManager負責真正的身份驗證邏輯；它會委託給Authenticator進行身份驗證；
三、Authenticator纔是真正的身份驗證者，Shiro API中核心的身份認證入口點，此處能夠自定義插入本身的實現；
四、Authenticator可能會委託給相應的AuthenticationStrategy進行多Realm身份驗證，默認ModularRealmAuthenticator會調用AuthenticationStrategy進行多Realm身份驗證；
五、Authenticator會把相應的token傳入Realm，從Realm獲取身份驗證信息，若是沒有返回/拋出異常表示身份驗證失敗了。此處能夠配置多個Realm，將按照相應的順序及策略進行訪問。

Realm

Realm：域，Shiro從從Realm獲取安全數據（如用戶、角色、權限），就是說SecurityManager要驗證用戶身份，那麼它須要從Realm獲取相應的用戶進行比較以肯定用戶身份是否合法；也須要從Realm獲得用戶相應的角色/權限進行驗證用戶是否能進行操做；能夠把Realm當作DataSource，即安全數據源。如咱們以前的ini配置方式將使用org.apache.shiro.realm.text.IniRealm。

org.apache.shiro.realm.Realm接口以下：
String getName(); //返回一個惟一的Realm名字
boolean supports(AuthenticationToken token); //判斷此Realm是否支持此Token
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException; //根據Token獲取認證信息

單Realm配置：

一、自定義Realm實現

二、ini配置文件指定自定義Realm實現(shiro-realm.ini)
Java代碼 收藏代碼
聲明一個realm
myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
指定securityManager的realms實現
securityManager.realms=$myRealm1
經過$name來引入以前的realm定義

三、只須要把以前的shiro.ini配置文件改爲shiro-realm.ini便可。

多Realm配置：

ini配置文件（shiro-multi-realm.ini）
聲明多個realm
myRealm1=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm1
myRealm2=com.github.zhangkaitao.shiro.chapter2.realm.MyRealm2
指定securityManager的realms實現
securityManager.realms=$myRealm1,$myRealm2

securityManager會按照realms指定的順序進行身份認證。此處咱們使用顯示指定順序的方式指定了Realm的順序，若是刪除「securityManager.realms=$myRealm1,$myRealm2」，那麼securityManager會按照realm聲明的順序進行使用（即無需設置realms屬性，其會自動發現），當咱們顯示指定realm後，其餘沒有指定realm將被忽略，如「securityManager.realms=$myRealm1」，那麼myRealm2不會被自動設置進去。

Shiro默認提供的Realm：

之後通常繼承AuthorizingRealm（受權）便可；其繼承了AuthenticatingRealm（即身份驗證），並且也間接繼承了CachingRealm（帶有緩存實現）。其中主要默認實現以下：
org.apache.shiro.realm.text.IniRealm：[users]部分指定用戶名/密碼及其角色；[roles]部分指定角色即權限信息；
org.apache.shiro.realm.text.PropertiesRealm： user.username=password,role1,role2指定用戶名/密碼及其角色；role.role1=permission1,permission2指定角色及權限信息；
org.apache.shiro.realm.jdbc.JdbcRealm：經過sql查詢相應的信息，如「select password from users where username = ?」獲取用戶密碼，「select password, password_salt from users where username = ?」獲取用戶密碼及鹽；「select role_name from user_roles where username = ?」獲取用戶角色；「select permission from roles_permissions where role_name = ?」獲取角色對應的權限信息；也能夠調用相應的api進行自定義sql；

JDBC Realm使用

一、數據庫及依賴

mysql
mysql-connector-java
5.1.25


com.alibaba
druid
0.2.23

本文將使用mysql數據庫及druid鏈接池；

二、到數據庫shiro下建一張表：users（用戶名/密碼）；

CREATE TABLE users(
id int(11) NOT NULL AUTO_INCREMENT COMMENT '主鍵',
username varchar(20) DEFAULT NULL COMMENT '用戶名',
password varchar(50) DEFAULT NULL COMMENT '密碼',
password_salt varchar(10) DEFAULT NULL COMMENT '生成密碼時用的隨機種子',
PRIMARY KEY (id)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8;

三、ini配置（shiro-jdbc-realm.ini）
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
dataSource=com.alibaba.druid.pool.DruidDataSource
dataSource.driverClassName=com.mysql.jdbc.Driver
dataSource.url=jdbc:mysql://localhost:3306/shiro
dataSource.username=root
dataSource.password= root
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm
一、變量名=全限定類名會自動建立一個類實例
二、變量名.屬性=值 自動調用相應的setter方法進行賦值
三、$變量名 引用以前的一個對象實例
四、測試代碼：

Authenticator及AuthenticationStrategy

Authenticator的職責是驗證用戶賬號，是Shiro API中身份驗證核心的入口點：

public AuthenticationInfo authenticate(AuthenticationToken authenticationToken)
throws AuthenticationException;
若是驗證成功，將返回AuthenticationInfo驗證信息；此信息中包含了身份及憑證；若是驗證失敗將拋出相應的AuthenticationException實現。

SecurityManager接口繼承了Authenticator，另外還有一個ModularRealmAuthenticator實現，其委託給多個Realm進行驗證，驗證規則經過AuthenticationStrategy接口指定，默認提供的實現：
FirstSuccessfulStrategy：只要有一個Realm驗證成功便可，只返回第一個Realm身份驗證成功的認證信息，其餘的忽略；
AtLeastOneSuccessfulStrategy：只要有一個Realm驗證成功便可，和FirstSuccessfulStrategy不一樣，返回全部Realm身份驗證成功的認證信息；
AllSuccessfulStrategy：全部Realm驗證成功纔算成功，且返回全部Realm身份驗證成功的認證信息，若是有一個失敗就失敗了。

ModularRealmAuthenticator默認使用AtLeastOneSuccessfulStrategy策略。