Shiro入門教程

Shiro是一個強大的簡單易用的Java安全框架，主要用來更便捷的認證，受權，加密，會話管理。Shiro首要的和最重要的目標就是容易使用而且容易理解。

Shiro的特性

Shiro是一個有許多特性的全面的安全框架，下面這幅圖能夠了解Shiro的特性：

1. Authentication：身份認證/登陸，驗證用戶是否是擁有相應的身份。
2. Authorization：受權，即權限驗證，驗證某個已認證的用戶是否擁有某個權限；即判斷用戶是否能作事情，常見的如：驗證某個用戶是否擁有某個角色。或者細粒度的驗證某個用戶對某個資源是否具備某個權限。
3. Session Manager：會話管理，即用戶登陸後就是一次會話，在沒有退出以前，它的全部信息都在會話中；會話能夠是普通 JavaSE 環境的，也能夠是如 Web 環境的。
4. Cryptography：加密，保護數據的安全性，如密碼加密存儲到數據庫，而不是明文存儲。
5. Web Support：Web支持，能夠很是容易的集成到 web 環境。
6. Caching：緩存，好比用戶登陸後，其用戶信息、擁有的角色/權限沒必要每次去查，這樣能夠提升效率。
7. Concurrency：shiro 支持多線程應用的併發驗證，即如在一個線程中開啓另外一個線程，能把權限自動傳播過去。
8. Testing：提供測試支持。
9. Run As：容許一個用戶僞裝爲另外一個用戶（若是他們容許）的身份進行訪問。
10. Remember Me：記住我，這個是很是常見的功能，即一次登陸後，下次再來的話不用登陸了。 2.2 運行原理

1. Subject：主體，表明了當前「用戶」。這個用戶不必定是一個具體的人，與當前應用交互的任何東西都是 Subject，如網絡爬蟲，機器人等。全部 Subject 都綁定到 SecurityManager，與 Subject 的全部交互都會委託給 SecurityManager。咱們能夠把 Subject 認爲是一個門面，SecurityManager 纔是實際的執行者。
2. SecurityManager：安全管理器。即全部與安全有關的操做都會與 SecurityManager 交互，且它管理着全部 Subject。能夠看出它是 Shiro 的核心，它負責與後邊介紹的其餘組件進行交互，若是學習過 SpringMVC，咱們能夠把它當作 DispatcherServlet 前端控制器。
3. Realm：域。Shiro 從 Realm 獲取安全數據（如用戶、角色、權限），就是說 SecurityManager 要驗證用戶身份，那麼它須要從 Realm 獲取相應的用戶進行比較以肯定用戶身份是否合法，也須要從 Realm 獲得用戶相應的角色/權限進行驗證用戶是否能進行操做。咱們能夠把 Realm 當作 DataSource，即安全數據源。

Shiro 運行原理圖及內部架構如圖下：

1. Subject：主體，能夠看到主體能夠是任何與應用交互的「用戶」。
2. SecurityManager：至關於 SpringMVC 中的 DispatcherServlet 或者 Struts2 中的 FilterDispatcher。它是 Shiro 的核心，全部具體的交互都經過 SecurityManager 進行控制。它管理着全部 Subject、且負責進行認證和受權、及會話、緩存的管理。
3. Authenticator：認證器，負責主體認證的，這是一個擴展點，若是用戶以爲 Shiro 默認的很差，咱們能夠自定義實現。其須要認證策略（Authentication Strategy），即什麼狀況下算用戶認證經過了。
4. Authrizer：受權器，或者訪問控制器。它用來決定主體是否有權限進行相應的操做，即控制着用戶能訪問應用中的哪些功能。
5. Realm：能夠有1個或多個 Realm，能夠認爲是安全實體數據源，即用於獲取安全實體的。它能夠是 JDBC 實現，也能夠是 LDAP 實現，或者內存實現等。
6. SessionManager：若是寫過 Servlet 就應該知道 Session 的概念，Session 須要有人去管理它的生命週期，這個組件就是 SessionManager。而 Shiro 並不只僅能夠用在 Web 環境，也能夠用在如普通的 JavaSE 環境。
7. SessionDAO：DAO 你們都用過，數據訪問對象，用於會話的 CRUD。咱們能夠自定義 SessionDAO 的實現，控制 session 存儲的位置。如經過 JDBC 寫到數據庫或經過 jedis 寫入 redis 中。另外 SessionDAO 中可使用 Cache 進行緩存，以提升性能。
8. CacheManager：緩存管理器。它來管理如用戶、角色、權限等的緩存的。由於這些數據基本上不多去改變，放到緩存中後能夠提升訪問的性能。
9. Cryptography：密碼模塊，Shiro 提升了一些常見的加密組件用於如密碼加密/解密的。

過濾器

過濾器簡稱	對應的 Java 類
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter

ssl 	|org.apache.shiro.web.filter.authz.SslFilter
user 	|org.apache.shiro.web.filter.authc.UserFilter
複製代碼

logout |org.apache.shiro.web.filter.authc.LogoutFilter noSessionCreation |org.apache.shiro.web.filter.session.NoSessionCreationFilter

/admins/**=auth               # 表示該 uri 須要認證才能訪問
  /admins/**=authcBasic         # 表示該 uri 須要 httpBasic 認證
  /admins/**=perms[user:add:*]  # 表示該 uri 須要認證用戶擁有 user:add:* 權限才能訪問
  /admins/**=port[8081]         # 表示該 uri 須要使用 8081 端口
  /admins/**=rest[user]         # 至關於 /admins/**=perms[user:method]，其中，method 表示  get、post、delete 等
  /admins/**=roles[admin]       # 表示該 uri 須要認證用戶擁有 admin 角色才能訪問
  /admins/**=ssl                # 表示該 uri 須要使用 https 協議
  /admins/**=user               # 表示該 uri 須要認證或經過記住我認證才能訪問
  /logout=logout                # 表示註銷,能夠看成固定配置
注意：
anon，authcBasic，auchc，user 是認證過濾器。
perms，roles，ssl，rest，port 是受權過濾器。

複製代碼

創一個建Shiro項目 pom.xml中添加以下依賴：

<dependencies>
     <dependency> 
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId> 
        <version>1.2.3</version> 
    </dependency>
   <dependency>
      <groupId>org.slf4j</groupId> 
      <artifactId>slf4j-simple</artifactId>
      <version>1.6.1</version> 
  </dependency> 
</dependencies>

複製代碼

配置文件

在 src/main/resources 目錄下建立名爲 shiro.ini 的配置文件，內容以下

[users]
    # admin=admin 分別表示帳號和密碼，administrator 表示逗號前邊的帳號擁有 administrator 這個角色。
    admin=admin,administrator
    zhangsan=zhangsan,manager
    lisi=lisi,guest

    [roles]
    # administrator 表示角色名稱，* 表示這個角色擁有全部權限
    administrator=*
    manager=user:*,department:*
    guest=user:query,department:query
複製代碼

測試類

public class ShiroTest {

        @Test
        public void test() {

            // 讀取 shiro.ini 文件內容
            Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
            SecurityManager securityManager = factory.getInstance();
            SecurityUtils.setSecurityManager(securityManager);

            Subject currentUser = SecurityUtils.getSubject();

            Session session = currentUser.getSession();
            session.setAttribute("someKey", "aValue");
            String value = (String) session.getAttribute("someKey");
            if (value.equals("aValue")) {
                System.out.println("someKey 的值：" + value);
            }

            // 登錄
            UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "zhangsan");
            token.setRememberMe(true);
            try {
                currentUser.login(token);
            } catch (UnknownAccountException uae) {
                System.out.println("用戶名不存在:" + token.getPrincipal());
            } catch (IncorrectCredentialsException ice) {
                System.out.println("帳戶密碼 " + token.getPrincipal()  + " 不正確!");
            } catch (LockedAccountException lae) {
                System.out.println("用戶名 " + token.getPrincipal() + " 被鎖定 !");
            }
            
            // 認證成功後
            if (currentUser.isAuthenticated()) {
                
                System.out.println("用戶 " + currentUser.getPrincipal() + " 登錄成功！");
                
                //測試角色
                System.out.println("是否擁有 manager 角色：" + currentUser.hasRole("manager"));
                
                //測試權限
                System.out.println("是否擁有 user:create 權限" + currentUser.isPermitted("user:create"));
                
                //退出
                currentUser.logout();
            }

        }
    }

複製代碼

使用註解進行用戶進行受權校驗

在使用 Shiro 的註解以前，請確保項目中已經添加支持 AOP 功能的相關 jar 包。經常使用註解以下：

@RequiresRoles( "manager" )      # 角色校驗
    public String save() {
        //TODO
    }
    @RequiresPermissions("user:manage")  # 權限檢驗
    public String delete() {
          //TODO
    }

複製代碼

自定義 Realm

上邊的程序使用的是 Shiro 自帶的 IniRealm，而 IniRealm 從 ini 配置文件中讀取用戶的信息，大部分狀況下須要從系統的數據庫中讀取用戶信息，因此須要自定義 realm。

public class CustomRealm extends AuthorizingRealm {

        /**
         * 認證
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 從 token 中獲取用戶身份信息
            String username = (String) token.getPrincipal();
            // 經過 username 從數據庫中查詢
        
            // 若是查詢不到則返回 null
            if(!username.equals("zhangsan")){//這裏模擬查詢不到
                return null;
            }
            
            //獲取從數據庫查詢出來的用戶密碼 
            String dbPassword = "zhangsan";//這裏使用靜態數據模擬
            
            //返回認證信息由父類 AuthenticatingRealm 進行認證
            SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(username, dbPassword, getName());

            return simpleAuthenticationInfo;
        }
        
        /**
         * 受權
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            // 獲取身份信息
            String username = (String) principals.getPrimaryPrincipal();
            // 根據身份信息從數據庫中查詢權限數據
            // 這裏使用靜態數據模擬
            List<String> permissions = new ArrayList<String>();
            permissions.add("user:*");
            permissions.add("department:*");
            
            // 將權限信息封閉爲AuthorizationInfo
            SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
            // 模擬數據，添加 manager 角色
            simpleAuthorizationInfo.addRole("manager");
            
            for(String permission:permissions){
                simpleAuthorizationInfo.addStringPermission(permission);
            }
            
            return simpleAuthorizationInfo;
        }

    }

複製代碼

在 src/main/resources 目錄下建立 shiro-realm.ini 文件，內容以下：

[main]
    #自定義 realm
    customRealm=com.light.shiroTest.realm.CustomRealm
    #將realm設置到securityManager
    securityManager.realms=$customRealm

複製代碼

與 Spring 整合

添加依賴

<dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.4.0</version>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>1.4.0</version>
    </dependency>

複製代碼

配置文件

web.xml ：

<filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>

    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

複製代碼

application-shiro.xml：

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 必須設置 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 3 個 url 屬性爲可選設置 -->
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/home.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        <property name="filterChainDefinitions">
            <value>
                <!-- 對靜態資源設置匿名訪問 -->
                /resources/** = anon
                /login = anon
                <!-- /** = authc 全部url都必須認證經過才能夠訪問-->
                /** = authc
            </value>
        </property>
    </bean>

    <!-- 安全管理器 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="customRealm" />
    </bean>

    <!-- 自定義 realm -->
    <bean id="customRealm" class="com.light.ac.web.realm.CustomRealm"></bean>

    <!-- 保證明現了Shiro內部lifecycle函數的bean執行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor" />

複製代碼

其中，application-shiro.xml 中的 shiroFilter 名字和 web.xml 文件中的 shiroFilter是對應的，必須一致。 anon 和 authc 對應上文提到的過濾器。

CustomRealm 類：

public class CustomRealm extends AuthorizingRealm {

        @Autowired
        private UserService userService;
        
        @Autowired
        private PermissionService permissionService;
        
        /**
         * 認證
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            // 獲取用戶名
            String userName = (String) token.getPrincipal();
            // 經過用戶名獲取用戶對象
            User user = this.userService.findUserByUserName(userName);
            
            if (user == null) {
                return null;
            }
            
            // 經過 userId 獲取該用戶擁有的全部權限，返回值根據本身需求編寫，並不是固定值。
            Map<String,List<Permission>> permissionMap = this.permissionService.getPermissionMapByUserId(user.getId());
            
            // （目錄+菜單，分層級，用於前端 jsp 遍歷）
            user.setMenuList(permissionMap.get("menuList"));
            // （目錄+菜單+按鈕，用於後端權限判斷）
            user.setPermissionList(permissionMap.get("permissionList"));
            
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
            
            return info;
        }
        
        /**
         * 受權
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            User user = (User) principals.getPrimaryPrincipal();
            
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            
            // （目錄+菜單+按鈕，用於後端權限判斷）
            List<Permission> permissionList = user.getPermissionList();
            
            for (Permission permission : permissionList) {
                if (StringUtil.isNotEmpty(permission.getCode())) {
                    info.addStringPermission(permission.getCode());
                }
            }
            
            return info;
        }
    }



複製代碼