Shiro

一、权限管理

1.1 什么是权限管理

不同身份的用户进入到系统所能够完成的操作是不相同的，我们对不同用户进行的可执行的操作的管理称之为权限管理

1.2 如何实现权限管理

权限管理设计

  • 基于主页的权限管理（不同用户使用不同的主页，权限通过主页功能菜单进行限制）

    • 适用于权限管理比较单一、用户少、每类用户权限固定

      用户表添加state字段，控制用户的权限

  • 基于用户和权限的权限管理

    • 可以实现权限的动态分配，但不够灵活

      三张表：用户表、权限表、用户权限表

  • 基于角色的访问控制（RBAC）

    五张表：用户表、角色表、权限表、用户角色表、角色权限表

二、安全框架简介

2.1 认证授权流程

  • 认证：对用户的身份进行检查（登录验证）

  • 授权：对用户的权限进行检查（是否有对应的操作权限）

2.2 安全框架

  • 帮助我们完成用户身份认证及权限检查功能框架

  • 常用的安全框架：

    • Shiro：Apache Shiro 是一个功能强大且易用的Java安全框架（小而简单）

    • Spring Security：基于Spring的一个安全框架，依赖Spring

    • OAuth2：第三方授权登录

    • 自定义安全认证

三、Shiro工作原理

可以完成用户认证、授权、密码以及会话管理，可以在任何的应用系统中使用（主要针对单体项目的权限管理）

3.1 Shiro的核心功能

  • Authentication 认证：验证用户是否有相应的身份——登录认证

  • Authorization 授权：权限验证，对已经通过认证的用户检查是否具有某个权限或者角色，从而控制是否能够进行某种操作

  • Session Management 会话管理：用户在认证成功之后创建会话，在没有退出之前，当前用户的所有信息都会保存在这个会话中，可以是普通的JavaSE应用，也可以是Web应用

  • Cryptography 加密：对敏感信息进行加密处理，Shiro提供了这种加密机制

  • 支持的特性：

    • Web Support —— Shiro提供了过滤器，可以通过过滤器拦截Web请求来处理Web应用的访问控制

    • Caching 缓存支持，Shiro可以缓存用户信息以及用户的角色权限信息，可以提高执行效率

    • Concurrency —— Shiro 支持多线程应用

    • Testing 提供测试支持

    • Run As 允许一个用户以另一种身份去访问

    • Remeber Me 记住我（保存登录状态）

  • 说明：Shiro是一个安全框架，不提供用户及权限的维护（用户的权限管理需要我们自己去设计）

3.2 Shiro核心组件

  • Shiro三大核心组件：Subject、Security Mannager、Realms

    • Subject：待认证和授权的用户

    • Security Mannager：Shiro框架的核心，通过Security Mannager来进行内部实例的管理，并通过它来提供安全管理的各种服务

      • Authenticator：认证器

      • Anthorizer：授权器

      • SessionManager：会话管理器

      • CacheManager：缓存管理器

    • Realms：相当于Shiro进行认证和授权的数据源，充当了Shiro与安全数据之间的”桥梁“或者”连接器“，也就是说，当用户进行认证（登录）和授权（访问控制）验证时，Shiro会应用配置的Realm中查找用户及其权限信息

四、基于JavaSE使用

4.1 创建Maven项目

4.2 导入Shiro依赖

<dependencies>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.4.1</version>
    </dependency>
</dependencies>

4.3 创建Shiro配置文件

在resource目录下创建shiro.ini文件

[users];用户与角色
zhangsan=123456,seller
lisi=66666,ckmgr
admin=222222

[roles];角色与权限
admin=*
seller=order-add,order-del,order-list
ckmgr=ck-add,ck-del,ck-list

4.4 Shiro的基本使用

public class TestShiro {

    public static void main(String[] args) {

        Scanner scanner = new Scanner(System.in);
        System.out.println("请输入账号");
        String username = scanner.nextLine();
        System.out.println("请输入密码");
        String password = scanner.nextLine();

        //1.创建安全管理器
        DefaultSecurityManager securityManager = new DefaultSecurityManager();
        //2.创建Realm
        IniRealm realm = new IniRealm("classpath:shiro.ini");
        //3.将Realm设置给安全管理器
        securityManager.setRealm(realm);
        //4.将Realm设置给SecurityUtils工具
        SecurityUtils.setSecurityManager(securityManager);
        //5.通过SecurityUtils工具类获取subject对象
        Subject subject = SecurityUtils.getSubject();

        //[认证流程]
        //a.将认证账号和密码封装到token对象中
        UsernamePasswordToken token = new UsernamePasswordToken(username,password);
        //b.通过subject对象调用Login方法进行认证申请
        try{
            subject.login(token);
        }catch (IncorrectCredentialsException e){
            System.out.println("登录失败");
        }

        //[授权]
        //a.判断是否有某个角色
        boolean hasRole = subject.hasRole("seller");
        //b.判断是否有某个权限
        boolean permitted = subject.isPermitted("order-del");
        
    }
    
}

五、基于SpringBoot使用

5.1 创建SpringBoot应用

  • lombok
  • spring web
  • thymeleaf

5.2 整合Druid和MyBatis

  • 依赖

    <dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>5.1.47</version>
</dependency>
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>druid-spring-boot-starter</artifactId>
    <version>1.1.10</version>
</dependency>
<dependency>
    <groupId>org.mybatis.spring.boot</groupId>
    <artifactId>mybatis-spring-boot-starter</artifactId>
    <version>2.1.0</version>
</dependency>

  • 配置

    spring:
  datasource:
    druid:
      url: jdbc:mysql://localhost:3305/test?characterEncoding=utf-8
    # MySQL如果是8.x：com.mysql.cj.jdbc.Driver
      driver-class-name: com.mysql.jdbc.Driver
      username: root
      password: *****
      initial-size: 1
      min-idle: 1
      max-active: 20

mybatis:
  type-aliases-package: com.demo.beans
  mapper-locations: classpath:mappers/*Mapper.xml

5.3 整合Shiro

  • 导入依赖

    <dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.4.1</version>
</dependency>
<!--shiro-spring中包含filter过滤器组件-->

  • 配置

    • anon 匿名用户可访问
    • authc 认证用户可访问
    • user 使用RemeberMe用户可访问
    • perms 对应权限用户可访问
    • role 对应角色用户可访问
    @Configuration
public class ShiroConfig {
    @Bean
    public IniRealm getRealm(){

        IniRealm realm = new IniRealm("classpath:shiro.ini");

        return realm;
    }

    @Bean
    public DefaultWebSecurityManager getDefaultWebSecurityManager(IniRealm realm){

        DefaultWebSecurityManager webSecurityManager = new DefaultWebSecurityManager();
        //securityManager完成校验，需要realm
        webSecurityManager.setRealm(realm);

        return webSecurityManager;
    }

    @Bean
    public ShiroFilterFactoryBean getShiroFilter(DefaultWebSecurityManager webSecurityManager){

        ShiroFilterFactoryBean shiroFilter = new ShiroFilterFactoryBean();
        //过滤器就是shiro执行权限校验的核心，进行认证和授权需要SecurityManager
        shiroFilter.setSecurityManager(webSecurityManager);
        //设置shiro的拦截规则
        Map<String,String> filterMap = new HashMap<>();
        filterMap.put("/","anon");
        filterMap.put("/login.html","anon");
        filterMap.put("/regist.html","anon");
        filterMap.put("/user/login","anon");
        filterMap.put("/user/regist","anon");
        filterMap.put("/static/**","anon");
        filterMap.put("/**","authc");

        shiroFilter.setFilterChainDefinitionMap(filterMap);
        
        shiroFilter.setLoginUrl("/login.html");
        //设置未授权访问的页面路径
        shiroFilter.setUnauthorizedUrl("/login.html");
        
        return shiroFilter;
    }
}

  • 认证测试

    • UserServiceImpl

      public class UserServiceImpl {

    public void checkLogin(String userName,String userPwd){

        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(userName,userPwd);
        subject.login(token);

    }
}

    • UserController

      public class UserController {

    @Autowired
    UserServiceImpl userService;

    @RequestMapping("login")
    public String login(String userName,String passWord){
        try {
            userService.checkLogin(userName,passWord);
            System.out.println("——————————————————登录成功——————————————————");
            return "index";
        } catch (Exception e) {
            System.out.println("——————————————————登录失败——————————————————");
            return "login";
        }
    }
}

    • login.html

      <!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title></title>
</head>
<body>
    login
    <hr/>
    <form action="/user/login">
        <p>账号：<input type="text" name="userName"/></p>
        <p>密码：<input type="text" name="passWord"/></p>
        <p><input type="submit" value="登录"/></p>
    </form>
</body>
</html>
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
【社区内容提示】社区部分内容疑似由AI辅助生成，浏览时请结合常识与多方信息审慎甄别。
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。

相关阅读更多精彩内容

友情链接更多精彩内容