Shiro是apache旗下一个开源安全框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。使用Shiro就可以非常快速的完成认证、授权等功能的开发，降低系统成本。
用户在进行资源访问时，要求系统要对用户进行权限控制,其具体流程如图-1所示：
图-1
在概念层面，Shiro 架构包含三个主要的理念，如图-2所示：
图-2
其中：
- Subject :主体对象，负责提交用户认证和授权信息。
- SecurityManager：安全管理器，负责认证，授权等业务实现。
- Realm：领域对象，负责从数据层获取业务数据。
Shiro框架进行权限管理时,要涉及到的一些核心对象,主要包括:认证管理对象,授权管理对象,会话管理对象,缓存管理对象,加密管理对象以及Realm管理对象(领域对象:负责处理认证和授权领域的数据访问题)等，其具体架构如图-3所示：
图-3
其中：
- Subject（主体）:与软件交互的一个特定的实体（用户、第三方服务等）。
- SecurityManager(安全管理器) :Shiro 的核心，用来协调管理组件工作。
- Authenticator(认证管理器):负责执行认证操作。
- Authorizer(授权管理器):负责授权检测。
- SessionManager(会话管理):负责创建并管理用户 Session 生命周期，提供一个强有力的 Session 体验。
- SessionDAO:代表 SessionManager 执行 Session 持久（CRUD）动作，它允许任何存储的数据挂接到 session 管理基础上。
- CacheManager（缓存管理器）:提供创建缓存实例和管理缓存生命周期的功能。
- Cryptography(加密管理器):提供了加密方式的设计及管理。
- Realms(领域对象):是Shiro和你的应用程序安全数据之间的桥梁。
实用spring整合Shiro时，需要在pom.xml中添加如下依赖：
2.1.2 Shiro核心对象配置org.apache.shiro shiro-spring 1.8.0
基于SpringBoot 实现的项目中，没有提供Shiro的自动化配置，需要我们自己配置。
第一步:创建SpringShiroConfig类。关键代码如下：
package com.cy.pj.common.config;
@Configuration
public class SpringShiroConfig {//spring-shiro.xml
}
第二步：在Shiro配置类中添加SecurityManager配置，关键代码如下：
@Bean
public SecurityManager securityManager() {
DefaultWebSecurityManager sManager = new DefaultWebSecurityManager();
return sManager;
}
第三步: 在Shiro配置类中添加ShiroFilterFactoryBean对象的配置。通过此对象设置资源匿名访问、认证访问。关键代码如下：
@Bean
public ShiroFilterFactoryBean shiroFilterFactory (SecurityManager securityManager) {
ShiroFilterFactoryBean sfBean = new ShiroFilterFactoryBean();
sfBean.setSecurityManager(securityManager);
//定义map指定请求过滤规则(哪些资源允许匿名访问,哪些必须认证访问)
linkedHashMap map = new linkedHashMap<>();
//静态资源允许匿名访问:"anon"
map.put("/bower_components
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
System.out.println("===doGetAuthorizationInfo===");
//1.获取登陆用户身份信息
SysUser user=(SysUser)principals.getPrimaryPrincipal();
//2.基于用户 id 获取角色 id
List roleIds = sysUserRoleDao.findRoleIdsByUserId(user.getId());
if(roleIds==null||roleIds.size()==0)
throw new AuthorizationException();
//3.基于角色 id 获取对应的菜单 id
List menuIds = sysRoleMenuDao.findMenuIdsByRoleIds(roleIds.toArray(new Integer[] {}));
if(menuIds==null||menuIds.size()==0)
throw new AuthorizationException();
//4.基于菜单 id 获取授权标识
List permissions = sysMenuDao.findPermissions(menuIds.toArray(new Integer[] {}));
if(permissions==null||permissions.size()==0)
throw new AuthorizationException();
//5.对用户权限信息进行封装
Set stringPermissions=new HashSet<>();
for(String per:permissions) {
if(!StringUtils.isEmpty(per)) {
stringPermissions.add(per);
}
}
System.out.println("stringPermissions="+stringPermissions);
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.setStringPermissions(stringPermissions);
return info;//此对象会返回给授权管理器
}
@Override
public CredentialsMatcher getCredentialsMatcher() {
HashedCredentialsMatcher cMatcher = new HashedCredentialsMatcher();
cMatcher.setHashAlgorithmName("MD5");
cMatcher.setHashIterations(1);
return cMatcher;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
//1.获取登陆用户信息(页面上用户输入的用户名)
UsernamePasswordToken uToken=(UsernamePasswordToken) token;
String username=uToken.getUsername();
//2.基于用户名查询数据库获取用户对象信息并进行判定
//2.1)获取用户对象
SysUser user = sysUserDao.findUserByUserName(username);
//2.2)验证对象是否存在
if(user==null)throw new UnknownAccountException();
//2.3)检查用户是否被禁用
if(user.getValid()==0)throw new LockedAccountException();
//3.封装用户信息并返回。
ByteSource credentialsSalt = ByteSource.Util.bytes(user.getSalt().getBytes());
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(
user, //principal 用户身份
user.getPassword(),//hashedCredentials 已经加密的密码
credentialsSalt, //credentialsSalt 盐值
this.getName());//getName()为 realm 的名字
return info;//返回给认证管理器
}
}
第二步：对此realm，需要在SpringShiroConfig配置类中，注入给SecurityManager对象,修改securityManager方法，见黄色背景部分，例如:
@Bean
public SecurityManager securityManager(Realm realm) {
DefaultWebSecurityManager sManager = new DefaultWebSecurityManager();
sManager.setRealm(realm);
return sManager;
}
3.2.5 Controller 类实现
- 业务描述及设计实现。
在此对象中定义相关方法，处理客户端的登陆请求，例如获取用户名，密码等然后提交该shiro框架进行认证。
- 关键代码分析及实现。
第一步：在SysUserController中添加处理登陆的方法。关键代码如下：
@RequestMapping("doLogin")
public JsonResult doLogin(String username,String password,boolean isRememberMe) {
//1.获取 subject 对象
Subject subject = SecurityUtils.getSubject();
//2.提交用户请求
UsernamePasswordToken token = new UsernamePasswordToken();
token.setUsername(username);
token.setPassword(password.toCharArray());
token.setRememberMe(isRememberMe);
subject.login(token);//提交给 securityManager
return new JsonResult("login ok");
}
第二步：修改shiroFilterFactory的配置，对/user/doLogin这个路径进行匿名访问的配置:
@Bean
public ShiroFilterFactoryBean shiroFilterFactory (SecurityManager securityManager) {
ShiroFilterFactoryBean sfBean = new ShiroFilterFactoryBean();
sfBean.setSecurityManager(securityManager);
//假如没有认证请求先访问此认证的url
sfBean.setLoginUrl("/doLoginUI");
//定义map指定请求过滤规则(哪些资源允许匿名访问,哪些必须认证访问)
linkedHashMap map = new linkedHashMap<>();
//静态资源允许匿名访问:"anon"
map.put("/bower_components/**","anon");
map.put("/build/**","anon");
map.put("/dist/**","anon");
map.put("/plugins/**","anon");
map.put("/user/doLogin","anon"); //authc表示，除了匿名访问的资源,其它都要认证("authc")后才能访问访问
map.put("/**","authc");
sfBean.setFilterChainDefinitionMap(map);
return sfBean;
}
第三步：当我们在执行登录操作时,为了提高用户体验,可对系统中的异常信息进行处理,例如,在统一异常处理类中添加如下方法:
@ExceptionHandler(ShiroException.class)
@ResponseBody
public JsonResult doHandleShiroException(ShiroException e) {
JsonResult r = new JsonResult();
r.setState(0);
if(e instanceof UnknownAccountException) {
r.setMessage("账户不存在");
}else if(e instanceof LockedAccountException) {
r.setMessage("账户已被禁用");
}else if(e instanceof IncorrectCredentialsException) {
r.setMessage("密码不正确");
}else if(e instanceof AuthorizationException) {
r.setMessage("没有此操作权限");
}else {
r.setMessage("系统维护中");
}
e.printStackTrace();
return r;
}
3.3 认证客户端实现
3.3.1 编写用户登陆页面
在/templates/pages/目录下添加登陆页面(login.html)。
3.3.2 异步登陆操作实现点击登录操作时,将输入的用户名,密码异步提交到服务端。
$(function () {
$(".login-box-body").on("click",".btn",doLogin);
});
function doLogin(){
var params={
username:$("#usernameId").val(),
password:$("#passwordId").val()
}
var url="user/doLogin";
$.post(url,params,function(result){
if(result.state==1){
//跳转到indexUI对应的页面
location.href="doIndexUI?t="+Math.random();
}else{
$(".login-box-msg").html(result.message);
}
});
}
3.4 退出操作配置实现
在SpringShiroConfig配置类中，修改过滤规则，添加黄色标记部分代码的配置,请看如下代码:
@Bean
public ShiroFilterFactoryBean shiroFilterFactory(SecurityManager securityManager) {
ShiroFilterFactoryBean sfBean = new ShiroFilterFactoryBean();
sfBean.setSecurityManager(securityManager);
//假如没有认证请求先访问此认证的url
sfBean.setLoginUrl("/doLoginUI");
//定义map指定请求过滤规则(哪些资源允许匿名访问,哪些必须认证访问)
linkedHashMap map=new linkedHashMap<>();
//静态资源允许匿名访问:"anon"
map.put("/bower_components/**","anon");
map.put("/build/**","anon");
map.put("/dist/**","anon");
map.put("/plugins/**","anon");
map.put("/user/doLogin","anon");
map.put("/doLogout","logout"); //除了匿名访问的资源,其它都要认证("authc")后访问
map.put("/**","authc");
sfBean.setFilterChainDefinitionMap(map);
return sfBean;
}
