詳解登陸認證及受權--Shiro系列（一）

時間  2019-11-30
標籤 詳解 登陸 認證 受權 shiro 系列 简体版
原文   原文鏈接

Apache Shiro 是一個強大而靈活的開源安全框架，它乾淨利落地處理身份認證，受權，企業會話管理和加密。
Apache Shiro 的首要目標是易於使用和理解。安全有時候是很複雜的，甚至是痛苦的，但它沒有必要這樣。框架應該儘量掩蓋複雜的地方，露出一個乾淨而直觀的 API，來簡化開發人員在使他們的應用程序安全上的努力。
如下是你能夠用 Apache Shiro 所作的事情：
驗證用戶來覈實他們的身份
對用戶執行訪問控制，如：
判斷用戶是否被分配了一個肯定的安全角色。
判斷用戶是否被容許作某事。
在任何環境下使用 Session API，即便沒有 Web 或 EJB 容器。
在身份驗證，訪問控制期間或在會話的生命週期，對事件做出反應。
彙集一個或多個用戶安全數據的數據源，並做爲一個單一的複合用戶「視圖」。css

啓用單點登陸（SSO）功能。html

併發登陸管理（一個帳號多人登陸做踢人操做）。java

爲沒有關聯到登陸的用戶啓用"Remember Me"服務。
…web

以及更多——所有集成到緊密結合的易於使用的 API 中。spring

目前Java領域主流的安全框架有SpringSecurity和Shiro，相比於SpringSecurity，Shiro輕量化，簡單容易上手，且不侷限於Java和Spring；SpringSecurity太笨重了，難以上手，且只能在Spring裏用，因此博主極力推薦Shiro。apache

spring集成shiro要用到shiro-all-1.2.4.jarspring-mvc

jar包下載地址：http://download.csdn.net/detail/qq_33556185/9540257安全

第一步：配置shiro.xml文件併發

shiro.xml配置文件代碼：mvc

[html]  view plain  copy
 
 在CODE上查看代碼片派生到個人代碼片
  1. <?xml version="1.0" encoding="UTF-8"?>  
  2. <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:tx="http://www.springframework.org/schema/tx" xmlns:context="http://www.springframework.org/schema/context"  
  3.     xmlns:mvc="http://www.springframework.org/schema/mvc"  
  4.     xsi:schemaLocation="http://www.springframework.org/schema/beans     
  5.     http://www.springframework.org/schema/beans/spring-beans-4.2.xsd     
  6.     http://www.springframework.org/schema/tx     
  7.     http://www.springframework.org/schema/tx/spring-tx-4.2.xsd    
  8.     http://www.springframework.org/schema/context    
  9.     http://www.springframework.org/schema/context/spring-context-4.2.xsd    
  10.     http://www.springframework.org/schema/mvc    
  11.     http://www.springframework.org/schema/mvc/spring-mvc-4.2.xsd">  
  12.      <!-- Shiro Filter 攔截器相關配置 -->    
  13.     <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">    
  14.         <!-- securityManager -->    
  15.         <property name="securityManager" ref="securityManager" />    
  16.         <!-- 登陸路徑 -->    
  17.         <property name="loginUrl" value="/toLogin" />    
  18.         <!-- 用戶訪問無權限的連接時跳轉此頁面  -->    
  19.         <property name="unauthorizedUrl" value="/unauthorizedUrl.jsp" />    
  20.         <!-- 過濾鏈定義 -->    
  21.         <property name="filterChainDefinitions">    
  22.             <value>    
  23.                 /loginin=anon  
  24.                 /toLogin=anon  
  25.                 /css/**=anon   
  26.                 /html/**=anon   
  27.                 /images/**=anon  
  28.                 /js/**=anon   
  29.                 /upload/**=anon   
  30.                 <!-- /userList=roles[admin] -->  
  31.                 /userList=authc,perms[/userList]  
  32.                 /toDeleteUser=authc,perms[/toDeleteUser]  
  33.                 /** = authc  
  34.              </value>    
  35.         </property>    
  36.     </bean>    
  37.     
  38.     <!-- securityManager -->    
  39.     <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">    
  40.         <property name="realm" ref="myRealm" />    
  41.     </bean>    
  42.     <!-- 自定義Realm實現 -->   
  43.     <bean id="myRealm" class="com.core.shiro.realm.CustomRealm" />    
  44.       
  45.     <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />  
  46.       
  47.     <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">    
  48.        <property name="prefix" value="/"/>    
  49.        <property name="suffix" value=".jsp"></property>    
  50.     </bean>  
  51.       
  52. </beans>    

anno表明不須要受權便可訪問，對於靜態資源，訪問權限都設置爲anno

authc表示須要登陸纔可訪問

/userList=roles[admin]的含義是要訪問/userList須要有admin這個角色，若是沒有此角色訪問此URL會返回無受權頁面

/userList=authc,perms[/userList]的含義是要訪問/userList須要有/userList的權限，要是沒分配此權限訪問此URL會返回無受權頁面

[html]  view plain  copy
 
 在CODE上查看代碼片派生到個人代碼片
  1. <bean id="myRealm" class="com.core.shiro.realm.CustomRealm" />   

這個是業務對象，須要咱們去實現。

第二步：在web.xml文件里加載shiro.xml,和加載其餘配置文件是同樣的，就很少說了

[html]  view plain  copy
 
 在CODE上查看代碼片派生到個人代碼片
  1. <context-param>  
  2.     <param-name>contextConfigLocation</param-name>  
  3.     <param-value>  
  4.         classpath*:/spring/spring-common.xml,  
  5.         classpath*:/spring/shiro.xml  
  6.     </param-value>  
  7. </context-param>  

第三步：配置shiroFilter，全部請求都要先進shiro的代理類

[html]  view plain  copy
 
 在CODE上查看代碼片派生到個人代碼片
  1.     <!--  
  2.       DelegatingFilterProxy類是一個代理類，全部的請求都會首先發到這個filter代理  
  3.                     而後再按照"filter-name"委派到spring中的這個bean。  
  4.                     在Spring中配置的bean的name要和web.xml中的<filter-name>同樣.  
  5.    targetFilterLifecycle，是否由spring來管理bean的生命週期，設置爲true有個好處，能夠調用spring後續的bean  
  6. -->  
  7.    <filter>    
  8.     <filter-name>shiroFilter</filter-name>    
  9.     <filter-class>    
  10.         org.springframework.web.filter.DelegatingFilterProxy    
  11.     </filter-class>    
  12.          <init-param>    
  13.     <param-name>targetFilterLifecycle</param-name>    
  14.     <param-value>true</param-value>    
  15.     </init-param>    
  16.   </filter>    
  17.   
  18. <filter-mapping>    
  19.     <filter-name>shiroFilter</filter-name>    
  20.     <url-pattern>/*</url-pattern>    
  21. </filter-mapping>    

第四步：自定義realm

[java]  view plain  copy
 
 在CODE上查看代碼片派生到個人代碼片
  1. package com.core.shiro.realm;  
  2.   
  3. import java.util.List;  
  4. import javax.annotation.Resource;  
  5. import org.apache.shiro.authc.AuthenticationException;  
  6. import org.apache.shiro.authc.AuthenticationInfo;  
  7. import org.apache.shiro.authc.AuthenticationToken;  
  8. import org.apache.shiro.authc.SimpleAuthenticationInfo;  
  9. import org.apache.shiro.authc.UsernamePasswordToken;  
  10. import org.apache.shiro.authz.AuthorizationInfo;  
  11. import org.apache.shiro.authz.SimpleAuthorizationInfo;  
  12. import org.apache.shiro.realm.AuthorizingRealm;  
  13. import org.apache.shiro.subject.PrincipalCollection;  
  14. import org.springframework.util.StringUtils;  
  15. import com.core.shiro.dao.IPermissionDao;  
  16. import com.core.shiro.dao.IRoleDao;  
  17. import com.core.shiro.dao.IUserDao;  
  18. import com.core.shiro.entity.Permission;  
  19. import com.core.shiro.entity.Role;  
  20. import com.core.shiro.entity.User;  
  21. public class CustomRealm extends AuthorizingRealm{    
  22.     @Resource  
  23.     private IUserDao userDao;  
  24.     @Resource  
  25.     private IPermissionDao permissionDao;  
  26.     @Resource  
  27.     private IRoleDao roleDao;  
  28.       
  29.     /** 
  30.      * 添加角色 
  31.      * @param username 
  32.      * @param info 
  33.      */  
  34.     private void addRole(String username, SimpleAuthorizationInfo info) {  
  35.         List<Role> roles = roleDao.findByUser(username);  
  36.         if(roles!=null&&roles.size()>0){  
  37.             for (Role role : roles) {  
  38.                 info.addRole(role.getRoleName());  
  39.             }  
  40.         }  
  41.     }  
  42.   
  43.     /** 
  44.      * 添加權限 
  45.      * @param username 
  46.      * @param info 
  47.      * @return 
  48.      */  
  49.     private SimpleAuthorizationInfo addPermission(String username,SimpleAuthorizationInfo info) {  
  50.         List<Permission> permissions = permissionDao.findPermissionByName(username);  
  51.         for (Permission permission : permissions) {  
  52.             info.addStringPermission(permission.getUrl());//添加權限    
  53.         }  
  54.         return info;    
  55.     }    
  56.     
  57.       
  58.     /** 
  59.      * 獲取受權信息 
  60.      */  
  61.     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {    
  62.         //用戶名    
  63.         String username = (String) principals.fromRealm(getName()).iterator().next();   
  64.         //根據用戶名來添加相應的權限和角色  
  65.         if(!StringUtils.isEmpty(username)){  
  66.             SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();  
  67.             addPermission(username,info);  
  68.             addRole(username, info);  
  69.             return info;  
  70.         }  
  71.         return null;    
  72.     }  
  73.   
  74.      
  75.    /**  
  76.     * 登陸驗證  
  77.     */    
  78.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authcToken ) throws AuthenticationException {    
  79.         //令牌——基於用戶名和密碼的令牌    
  80.         UsernamePasswordToken token = (UsernamePasswordToken) authcToken;    
  81.         //令牌中能夠取出用戶名  
  82.         String accountName = token.getUsername();  
  83.         //讓shiro框架去驗證帳號密碼  
  84.         if(!StringUtils.isEmpty(accountName)){  
  85.             User user = userDao.findUser(accountName);  
  86.             if(user != null){  
  87.             return new SimpleAuthenticationInfo(user.getUserName(), user.getPassword(), getName());  
  88.             }  
  89.         }  
  90.           
  91.         return null;  
  92.     }    
  93.     
  94. }    

第五步：控制層代碼

[java]  view plain  copy
 
 在CODE上查看代碼片派生到個人代碼片
  1. package com.core.shiro.controller;  
  2.   
  3. import javax.servlet.http.HttpServletRequest;  
  4. import org.apache.shiro.SecurityUtils;  
  5. import org.apache.shiro.authc.AuthenticationException;  
  6. import org.apache.shiro.authc.UsernamePasswordToken;  
  7. import org.apache.shiro.crypto.hash.Md5Hash;  
  8. import org.apache.shiro.subject.Subject;  
  9. import org.springframework.stereotype.Controller;  
  10. import org.springframework.web.bind.annotation.RequestMapping;  
  11. @Controller  
  12. public class ShiroAction {  
  13.     @RequestMapping("loginin")  
  14.     public String login(HttpServletRequest request){  
  15.          //當前Subject    
  16.          Subject currentUser = SecurityUtils.getSubject();    
  17.          //加密（md5+鹽），返回一個32位的字符串小寫  
  18.          String salt="("+request.getParameter("username")+")";    
  19.          String md5Pwd=new Md5Hash(request.getParameter("password"),salt).toString();  
  20.          //傳遞token給shiro的realm  
  21.          UsernamePasswordToken token = new UsernamePasswordToken(request.getParameter("username"),md5Pwd);    
  22.          try {    
  23.              currentUser.login(token);   
  24.              return "welcome";  
  25.            
  26.          } catch (AuthenticationException e) {//登陸失敗    
  27.              request.setAttribute("msg", "用戶名和密碼錯誤");    
  28.          }   
  29.             return "login";  
  30.     }  
  31.     @RequestMapping("toLogin")  
  32.     public String toLogin(){  
  33.          return "login";  
  34.     }  
  35. }  

第六步：login頁面 略

     login請求調用currentUser.login以後，shiro會將token傳遞給自定義realm,此時realm會先調用doGetAuthenticationInfo(AuthenticationToken authcToken )登陸驗證的方法，驗證經過後會接着調用 doGetAuthorizationInfo(PrincipalCollection principals)獲取角色和權限的方法（受權），最後返回視圖。   

     當其餘請求進入shiro時，shiro會調用doGetAuthorizationInfo(PrincipalCollection principals)去獲取受權信息，如果沒有權限或角色，會跳轉到未受權頁面，如有權限或角色，shiro會放行，ok，此時進入真正的請求方法……

到此shiro的認證及受權便完成了。

 

http://blog.csdn.net/qq_33556185/article/details/51579680

相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程