shiro与springSecurity

Posted 2022-09-07 HarrisDong

本文章介绍市面上常用的两大安全框架shiro与springSecurity；

---

shiro

【1】什么是Shiro

        Shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份 认证，权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。

【2】Shiro 的特点

        Shiro 是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。如下是它所具有的特点：

        易于理解的 Java Security API；

        简单的身份认证（登录），支持多种数据源（LDAP，JDBC 等）；

        对角色的简单的签权（访问控制），也支持细粒度的鉴权；

        支持一级缓存，以提升应用程序的性能；

        内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；

        异构客户端会话访问；

        非常简单的加密 API；

        不跟任何的框架或者容器捆绑，可以独立运行。

【2】Shiro 的核心组件

Subject

        Subject主体，外部应用与subject进行交互，subject将用户作为当前操作的主体，这个主体：可以是一 个通过浏览器请求的用户，也可能是一个运行的程序。Subject在shiro中是一个接口，接口中定义了很多认证授相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权

SecurityManager

        SecurityManager权限管理器，它是shiro的核心，负责对所有的subject进行安全管理。通过 SecurityManager可以完成subject的认证、授权等，SecurityManager是通过Authenticator进行认 证，通过Authorizer进行授权，通过SessionManager进行会话管理等。SecurityManager是一个接 口，继承了Authenticator, Authorizer, SessionManager这三个接口

Authenticator

        Authenticator即认证器，对用户登录时进行身份认证

Authorizer

        Authorizer授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作 权限。

Realm（数据库读取+认证功能+授权功能实现）

        Realm领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据

SessionManager

        SessionManager会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro 可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

SessionDAO

        SessionDAO即会话dao，是对session会话操作的一套接

CacheManager

        CacheManager缓存管理，将用户权限数据存储在缓存，这样可以提高性能

Cryptography

        Cryptography密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等 功能

【3】Shiro认证的基本流程

流程如下：

        1、Shiro把用户的数据封装成标识token，token一般封装着用户名，密码等信息

        2、使用Subject门面获取到封装着用户的数据的标识token SessionManager会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro 可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。 SessionDAO即会话dao，是对session会话操作的一套接口 比如: 可以通过jdbc将会话存储到数据库 也可以把session存储到缓存服务器 CacheManager缓存管理，将用户权限数据存储在缓存，这样可以提高性能 Cryptography密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能

        3、Subject把标识token交给SecurityManager，在SecurityManager安全中心中，SecurityManager 把标识token委托给认证器Authenticator进行身份验证。认证器的作用一般是用来指定如何验证，它规定本次认证用到哪些Realm

        4、认证器Authenticator将传入的标识token，与数据源Realm对比，验证token是否合法

【5】shiro身份授权的基本流程

流程如下：

        1、首先调用Subject.isPermitted/hasRole接口，其会委托给SecurityManager。

        2、SecurityManager接着会委托给内部组件Authorizer；

        3、Authorizer再将其请求委托给我们的Realm去做；Realm才是真正干活的；

        4、Realm将用户请求的参数封装成权限对象。再从我们重写的doGetAuthorizationInfo方法中获取从 数据库中查询到的权限集合。

        5、Realm将用户传入的权限对象，与从数据库中查出来的权限对象，进行一一对比。如果用户传入的 权限对象在从数据库中查出来的权限对象中，则返回true，否则返回false。 进行授权操作的前提：用户必须通过认证。

【6】shiro示例代码

        坐标

<!--shiro和spring整合-->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.3.2</version>
</dependency>

<!--shiro核心包-->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.3.2</version>
</dependency>

        配置文件：

@Configuration
public class ShiroConfig 

    //1.创建realm
    @Bean
    public PurviewRealm getRealm() 
        return new PurviewRealm();
    

    //2.创建安全管理器
    @Bean
    public SecurityManager getSecurityManager(PurviewRealm realm) 
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(realm);
        return securityManager;
    

    //3.配置shiro的过滤器工厂再web程序中，shiro进行权限控制全部是通过一组过滤器集合进行控制
    @Bean
    public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) 
        //1.创建过滤器工厂
        ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();
        //2.设置安全管理器
        filterFactory.setSecurityManager(securityManager);
        //3.通用配置（跳转登录页面，为授权跳转的页面）

        filterFactory.setLoginUrl("/autherror");//跳转url地址

        //4.设置过滤器集合
        //key = 拦截的url地址
        //value = 过滤器类型
        Map<String, String> filterMap = new LinkedHashMap<>();

        filterMap.put("/login", "anon");//当前请求地址可以匿名访问
        filterMap.put("/checkgroup/**", "authc");//当前请求地址必须认证之后可以访问
        //......

        //在过滤器工程内设置过滤器
        filterFactory.setFilterChainDefinitionMap(filterMap);

        return filterFactory;
    

    /**
     * 开启aop注解支持
     *
     * @param securityManager
     * @return
     */
    @Bean
    public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) 
        AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
        advisor.setSecurityManager(securityManager);
        return advisor;
    

    /**
     * 开启Shiro的注解(如@RequiresRoles,@RequiresPermissions)
     *
     * @return
     */
    @Bean
    public DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator() 
        DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();
        advisorAutoProxyCreator.setProxyTargetClass(true);
        return advisorAutoProxyCreator;
    

        realm

/**
 * 自定义的realm
 */
public class PurviewRealm extends AuthorizingRealm 

    public void setName(String name) 
        super.setName("purviewRealm");
    

    @Autowired
    private UserService userService;

    /**
     * 授权方法
     * 操作的时候，判断用户是否具有响应的权限
     * 一定先认证再授权
     * 先认证 -- 安全数据
     * 再授权 -- 根据安全数据获取用户具有的所有操作权限
     */
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) 
        //1.获取已认证的用户数据
        User user = (User) principalCollection.getPrimaryPrincipal();//得到唯一的安全数据
        //2.根据用户数据获取用户的权限信息（所有角色，所有权限）
        Set<String> roles = new HashSet<>();//所有角色
        Set<String> perms = new HashSet<>();//所有权限
        for (Role role : user.getRoles()) 
            roles.add(role.getName());
            for (Permission perm : role.getPermissions()) 
                perms.add(perm.getCode());
            
        
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        info.setStringPermissions(perms);
        info.setRoles(roles);
        return info;
    

    /**
     * 认证方法
     * 参数：传递的用户名密码
     */
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException 
        //1.获取登录的用户名密码（token）
        UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;
        String username = upToken.getUsername();//用户录入的账号
        //2.根据用户名查询数据库
        //mybatis情景下:user对象中包含ID，name，pwd(匿名)
        //JPA情景下:user对象中包含ID，name，pwd(匿名)，set<角色>，set<权限>
        User user = userService.findByName(username);
        //3.判断用户是否存在或者密码是否一致
        if (user != null) 
            //4.如果一致返回安全数据
            //构造方法：安全数据，密码(匿名)，混淆字符串(salt),realm域名
            SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user, user.getPassword(), ByteSource.Util.bytes(user.getSalt()), this.getName());
            return info;
        
        //5.不一致，返回null（抛出异常）
        return null;
    

    /**
     * @param
     * @return bean标签 init-method属性
     * @Description 自定义密码比较器
     */
    @PostConstruct
    public void initCredentialsMatcher() 
        //指定密码算法
        HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher(DigestsUtil.SHA1);
        //指定迭代次数
        hashedCredentialsMatcher.setHashIterations(DigestsUtil.COUNTS);
        //生效密码比较器
        setCredentialsMatcher(hashedCredentialsMatcher);
    

        为需要权限的接口加上注解

    @PostMapping("/findPage")
    @RequiresPermissions("group-find")//需要group-find权限访问
    public PageResult findPage(@RequestBody QueryPageBean queryPageBean) 
        PageResult pageResult = checkGroupService.pageQuery(queryPageBean);
        return pageResult;
    

springSecurity

【1】什么是springSecurity

       Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

【2】springSecurity的特点

1、与Spring无缝整合

2、全面的权限控制

3、专门为web开发而设计

• ​旧版本不能脱离Web环境使用
• 新版本对整个框架进行了分层抽取，分成了核心模块和Web模块。单独引入核心模块就可以脱离Web环境

4、重量级

【3】springSecurity核心功能

• 认证 
• 授权 
• 攻击防护 （防止伪造身份）

        其核心就是一组过滤器链，项目启动后将会自动配置。核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在spring security中一种过滤器处理一种认证方式。

 【4】springSecurity示例代码

        坐标

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

        启动类上加注解

@SpringBootApplication
@EnableTransactionManagement
@ServletComponentScan
@EnableScheduling
@EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)//开启springSecurity支持
public class TakeOutApplication 

    public static void main(String[] args) 
        SpringApplication.run(TakeOutApplication.class, args);
    

        给需要权限的接口添加注解

@GetMapping("/page")
@PreAuthorize("hasAuthority('user-find')")
public Result<Page> page(int page, int pageSize, String name) 
    //控制层代码
    //......
    return null;

        配置类

/**
 * @version 1.0
 * @Author Harris
 * @since 2022/8/18
 */
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter 

    @Bean
    public PasswordEncoder passwordEncoder() 
        return new BCryptPasswordEncoder();
    

    @Override
    protected void configure(HttpSecurity http) throws Exception 

        http.csrf().disable()
                .authorizeRequests()                                       //所有请求
                .antMatchers("/employee/**").authenticated()   //所有/employee/**的请求必须认证通过
                .anyRequest().permitAll()                                 
                .and()
                .exceptionHandling()
                .accessDeniedHandler(new MyAccessFail())
                .authenticationEntryPoint((request, response, ex) -> 
                    PrintWriter out = response.getWriter();
                    out.println("NoLogin");                                //自定义未登录跳转（前后端分离）
                )
                .and()
                .formLogin()                                               //允许表单登录
                .loginProcessingUrl("/login")
                .successForwardUrl("/employee/login-success");            //自定义登录成功的页面地址

    

        认证接口

/**
 * @version 1.0
 * @Author Harris
 * @since 2022/8/26
 */
@Component
public class SpringDataUserDetailsService implements UserDetailsService 

    @Autowired
    private EmployeeService employeeService;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException 
        //1.根据页面提交的用户名username查询数据库
        User byName = employeeService.findByName(username);
        if (byName == null) 
            return null;
        

        //获取权限
        List<String> permissions = employeeService.findPermissionsByUserId(String.valueOf(byName.getId()));
        String[] perarray = new String[permissions.size()];
        permissions.toArray(perarray);

        UserDetails userDetails = org.springframework.security.core.userdetails.User
                .withUsername(byName.getName())
                .password(byName.getPassword())
                .authorities(perarray)
                .build();
        return userDetails;

    

总结

Shiro特点

• 内置的基于 POJO 企业会话管理，适用于 Web 以及非 Web 的环境；
• 异构客户端会话访问；
• 非常简单的加密 API；
• 不跟任何的框架或者容器捆绑，可以独立运行。

Spring Security特点

• 不能脱离Spring；
• spring-security对spring结合较好，项目是spring-boot等搭建的，使用起来更加方便；
• 有更好的spring社区进行支持；
• 支持oauth授权。

相同点

• 认证功能
• 授权功能
• 加密功能
• 会话管理
• 缓存支持

不同点

• Spring Security是一个重量级的安全管理框架；Shiro则是一个轻量级的安全管理框架
• Spring Security 基于Spring开发，项目若使用Spring作为基础，配合Spring Security 做权限更便捷，而Shiro需要和Spring 进行整合开发；
• Spring Security 功能比Shiro更加丰富些，例如安全维护方面；
• Spring Security 社区资源相对于Shiro更加丰富；
• Shiro 的配置和使用比较简单，Spring Security 上手复杂些；
• Shiro 依赖性低，不需要任何框架和容器，可以独立运行， Spring Security依赖Spring容器；
• Shiro 不仅仅可以使用在web中，它可以工作在任何应用环境中。在集群会话时Shiro最重要的一个好处或许就是它的会话是独立于容器的；