Shiro知识总结二

Posted 2023-03-30 lili要努力

3. 与 Spring Boot 整合

3.1 框架整合

依赖

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring-boot-web-starter</artifactId>
        <version>1.9.1</version>
    </dependency>
    <dependency>
        <groupId>com.baomidou</groupId>
        <artifactId>mybatis-plus-boot-starter</artifactId>
        <version>3.5.2</version>
    </dependency>

    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-devtools</artifactId>
        <scope>runtime</scope>
        <optional>true</optional>
    </dependency>
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <scope>runtime</scope>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-configuration-processor</artifactId>
        <optional>true</optional>
    </dependency>
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <optional>true</optional>
    </dependency>
</dependencies>

配置文件

spring:
  datasource:
    type: com.zaxxer.hikari.HikariDataSource
    driver-class-name: com.cj.mysql.jdbc.Driver
    url: jdbc:mysql://localhost:3306/shiro-db?characterEncoding=utf-8&useSSL=false
    username: root
    password: xxxxxxx
  jackson:
    date-format: yyyy-MM-dd HH:mm:ss
    time-zone: GMT+8
mybatis-plus:
  configuration:
    log-impl: org.apache.ibatis.logging.stdout.StdOutImpl
  mapper-locations: classpath:mapper/*.xml
shiro:
  loginUrl: /myController/login

3.2 登录认证实现

核心代码：

@Configuration
public class ShiroConfig 

    @Autowired
    private MyRealm myRealm;

    /**
     * 配置 SecurityManager
     */
    @Bean
    public DefaultWebSecurityManager defaultWebSecurityManager() 
        // 1. 创建 defaultWebSecurityManager 对象
        DefaultWebSecurityManager defaultWebSecurityManager = new
                DefaultWebSecurityManager();
        // 2. 创建加密对象，并设置相关属性
        HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
        // 2.1 采用 md5 加密
        matcher.setHashAlgorithmName("MD5");
        // 2.2 迭代加密次数
        matcher.setHashIterations(3);
        // 3 将加密对象存储到 myRealm 中
        myRealm.setCredentialsMatcher(matcher);
        // 4 将 myRealm 存入 defaultWebSecurityManager 对象
        defaultWebSecurityManager.setRealm(myRealm);
        // 5 返回
        return defaultWebSecurityManager;
    

    /**
     * 配置 Shiro 内置过滤器拦截范围
     */
    @Bean
    public DefaultShiroFilterChainDefinition shiroFilterChainDefinition() 
        DefaultShiroFilterChainDefinition chainDefinition
                = new DefaultShiroFilterChainDefinition();
        // 设置不认证可以访问的资源
        chainDefinition.addPathDefinition("/myController/userLogin", "anon");
        chainDefinition.addPathDefinition("/login", "anon");
        // 设置需要进行登录认证的拦截范围
        chainDefinition.addPathDefinition("/**", "authc");
        return chainDefinition;
    

@Component
public class MyRealm extends AuthorizingRealm 

    @Autowired
    private UserService userService;

    /**
     * 自定义授权方法
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) 
        return null;
    

    /**
     * 自定义登录认证方法
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException 
        // 1. 获取用户名
        String username = authenticationToken.getPrincipal().toString();
        // 2. 根据用户名查询用户
        User user = userService.getUserInfoByName(username);
        // 3. 判断并将数据完成封装
        if (user != null) 
            return new SimpleAuthenticationInfo(
                    authenticationToken.getPrincipal(),
                    user.getPwd(),
                    ByteSource.Util.bytes("salt"),
                    username
            );
        
        return null;
    

3.3 多个 realm 的认证策略设置

3.3.1 实现原理

当应用程序配置多个 Realm 时，例如：用户名密码校验、手机号验证码校验等等。Shiro 的 ModularRealmAuthenticator 会使用内部的

AuthenticationStrategy 组件判断认证是成功还是失败。

AuthenticationStrategy 是一个无状态的组件，它在身份验证尝试中被询问 4 次（这 4 次交互所需的任何必要的状态将被作为方法参

数）:

1. 在所有 Realm 被调用之前
2. 在调用 Realm 的 getAuthenticationInfo 方法之前
3. 在调用 Realm 的 getAuthenticationInfo 方法之后
4. 在所有 Realm 被调用之后

认证策略的另外一项工作就是聚合所有 Realm 的结果信息封装至一个 AuthenticationInfo 实例中，并将此信息返回，以此作为

Subject 的身份信息。

Shiro 中定义了 3 种认证策略的实现:

AuthenticationStrategy class	描述
AtLeastOneSuccessfulStrategy	只要有一个（或更多）的 Realm 验证成功，那么认证将视为成功
FirstSuccessfulStrategy	第一个 Realm 验证成功，整体认证将视为成功，且后续 Realm 将被忽略
AllSuccessfulStrategy	所有 Realm 成功，认证才视为成功

ModularRealmAuthenticator 内置的认证策略默认实现是 AtLeastOneSuccessfulStrategy 方式。可以通过配置修改策略。

3.3.2 代码实现

核心代码：

/**
 * 配置 SecurityManager
 */
@Bean
public DefaultWebSecurityManager defaultWebSecurityManager() 
    // 1. 创建 defaultWebSecurityManager 对象
    DefaultWebSecurityManager defaultWebSecurityManager = new
        DefaultWebSecurityManager();
    // 多个 Realm 认证策略配置
    // 2. 创建认证对象，并设置认证策略
    ModularRealmAuthenticator modularRealmAuthenticator = new ModularRealmAuthenticator();
    // 所有 Realm 成功 才算认证成功
    modularRealmAuthenticator.setAuthenticationStrategy(new AllSuccessfulStrategy());
    defaultWebSecurityManager.setAuthenticator(modularRealmAuthenticator);
    // 3. 封装 Realm 集合
    List<Realm> list = new ArrayList<>();
    list.add(myRealm);
    list.add(myRealm2);
    defaultWebSecurityManager.setRealms(list);
    // 4 返回
    return defaultWebSecurityManager;

3.4 remember me 功能

Shiro 提供了记住我（RememberMe）的功能，比如访问一些网站时，关闭了浏览器，下次再打开时还是能记住你是谁， 下次访问时无

需再登录即可访问。

基本流程

1. 首先在登录页面选中 RememberMe 然后登录成功；如果是浏览器登录，一般会把 RememberMe 的 Cookie 写到客户端并保存下

   来；

2. 关闭浏览器再重新打开；会发现浏览器还是记住你的；

3. 访问一般的网页服务器端，仍然知道你是谁，且能正常访问；

4. 但是，如果我们访问电商平台时，如果要查看我的订单或进行支付时，此时还是需要再进行身份认证的，以确保当前用户还是你。

核心代码

@Bean
public DefaultWebSecurityManager defaultWebSecurityManager() 
    // 1. 创建 defaultWebSecurityManager 对象
    DefaultWebSecurityManager defaultWebSecurityManager = new
        DefaultWebSecurityManager();
    // 2. 创建加密对象，并设置相关属性
    HashedCredentialsMatcher matcher = new HashedCredentialsMatcher();
    // 2.1 采用 md5 加密
    matcher.setHashAlgorithmName("MD5");
    // 2.2 迭代加密次数
    matcher.setHashIterations(3);
    // 3 将加密对象存储到 myRealm 中
    myRealm.setCredentialsMatcher(matcher);
    // 4 将 myRealm 存入 defaultWebSecurityManager 对象
    defaultWebSecurityManager.setRealm(myRealm);
    // 设置 rememberMe 功能
    defaultWebSecurityManager.setRememberMeManager(cookieRememberMeManager());
    // 5 返回
    return defaultWebSecurityManager;


public SimpleCookie rememberMeCookie() 
    SimpleCookie simpleCookie = new SimpleCookie("rememberMe");
    // 设置跨域
    // simpleCookie.setDomain("domain");
    simpleCookie.setPath("/");
    simpleCookie.setHttpOnly(true);
    simpleCookie.setMaxAge(30*24*60*60);
    return simpleCookie;


public CookieRememberMeManager cookieRememberMeManager() 
    CookieRememberMeManager cookieRememberMeManager = new CookieRememberMeManager();
    cookieRememberMeManager.setCookie(rememberMeCookie());
    cookieRememberMeManager.setCipherKey("806823".getBytes());
    return cookieRememberMeManager;


/**
 * 配置 Shiro 内置过滤器拦截范围
 */
@Bean
public DefaultShiroFilterChainDefinition shiroFilterChainDefinition() 
    DefaultShiroFilterChainDefinition chainDefinition
        = new DefaultShiroFilterChainDefinition();
    // 设置不认证可以访问的资源
    chainDefinition.addPathDefinition("/myController/userLogin", "anon");
    chainDefinition.addPathDefinition("/myController/login", "anon");
    // 设置需要进行登录认证的拦截范围
    chainDefinition.addPathDefinition("/**", "authc");
    // 添加存在用户的过滤器（ rememberMe ）
    chainDefinition.addPathDefinition("/**", "user");
    return chainDefinition;

3.5 用户登录认证后登出

用户登录后，配套的有登出操作。直接通过Shiro过滤器即可实现登出

核心代码

@Bean
public DefaultShiroFilterChainDefinition shiroFilterChainDefinition() 
    DefaultShiroFilterChainDefinition chainDefinition
        = new DefaultShiroFilterChainDefinition();
    // 设置不认证可以访问的资源
    chainDefinition.addPathDefinition("/myController/userLogin", "anon");
    chainDefinition.addPathDefinition("/myController/login", "anon");
    // 配置登出过滤器
    chainDefinition.addPathDefinition("/logout", "logout");
    // 设置需要进行登录认证的拦截范围
    chainDefinition.addPathDefinition("/**", "authc");
    // 添加存在用户的过滤器（ rememberMe ）
    chainDefinition.addPathDefinition("/**", "user");
    return chainDefinition;

3.6 授权、角色认证

3.6.1 授权

用户登录后，需要验证是否具有指定角色指定权限。Shiro 也提供了方便的工具进行判断。

这个工具就是 Realm 的 doGetAuthorizationInfo 方法进行判断。触发权限判断的有两种方式

1. 在页面中通过shiro:属性判断
2. 在接口服务中通过注解@Requires进行判断

3.6.2 后端接口服务

通过给接口服务方法添加注解可以实现权限校验，可以加在控制器方法上，也可以加在业务方法上，一般加在控制器方法上。常用注解如

下：

• @RequiresAuthentication

  验证用户是否登录，等同于方法subject.isAuthenticated()

• @RequiresUser

  验证用户是否被记忆

  登录认证成功subject.isAuthenticated()为true

  登录后被记忆subject.isRemembered()为true

• @RequiresGuest

  验证是否是一个guest的请求，是否是游客的请求

  此时subject.getPrincipal()为null

• @RequiresRoles

  验证subject是否有相应角色，有角色访问方法，没有则会抛出异常 AuthorizationException。

  例如：@RequiresRoles(“aRoleName”)

  void someMethod();

  只有subject有aRoleName角色才能访问方法someMethod()

• @RequiresPermissions

  验证subject是否有相应权限，有权限访问方法，没有则会抛出异常 AuthorizationException。

  例如：@RequiresPermissions (“file:read”,”wite:aFile.txt”)

  void someMethod();

  subject必须同时含有file:read和wite:aFile.txt权限才能访问方法someMethod()

3.6.3 授权验证- - 没有角色无法访问

核心代码：

@GetMapping("/userLoginRoles")
@RequiresRoles("admin")
@ResponseBody
public String userLoginRoles() 
    System.out.println("登录认证验证角色");
    return "验证角色成功";

3.6.4 授权验证- - 获取角色进行验证

修改MyRealm方法

/**
 * 自定义授权方法：获取当前登录用户权限信息，返回给 Shiro 用来进行授权对比
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) 
    System.out.println("进入自定义授权方法");
    // 1. 创建对象，存储当前登录的用户的权限和角色
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    // 2. 存储角色
    info.addRole("admin");
    // 3. 返回
    return info;

接下来实现对数据库整合进行操作

创建库表

CREATE TABLE `role`
(
    `id`       BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
    `name`     VARCHAR(30) DEFAULT NULL COMMENT '角色名',
    `desc`     VARCHAR(50) DEFAULT NULL COMMENT '描述',
    `realname` VARCHAR(20) DEFAULT NULL COMMENT '角色显示名',
    PRIMARY KEY (`id`)
) ENGINE = INNODB
  AUTO_INCREMENT = 2
  DEFAULT CHARSET = utf8 COMMENT ='角色表';

CREATE TABLE `role_user`
(
    `id`  BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
    `uid` BIGINT(20) DEFAULT NULL COMMENT '用户 id',
    `rid` BIGINT(20) DEFAULT NULL COMMENT '角色 id',
    PRIMARY KEY (`id`)
) ENGINE = INNODB
  AUTO_INCREMENT = 2
  DEFAULT CHARSET = utf8 COMMENT ='角色用户映射表';

根据用户名查询对应角色信息

<!--List<String> getUserRoleInfo(@Param("principal") String principal);-->
<select id="getUserRoleInfo" resultType="java.lang.String">
    select name
    from role
    where id in (select rs.rid
    from role_user rs
    where rs.uid = (select id from user where name = #principal));
</select>

MyRealm 方法改造

/**
 * 自定义授权方法：获取当前登录用户权限信息，返回给 Shiro 用来进行授权对比
 */
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) 
    System.out.println("进入自定义授权方法");
    // 1. 获取当前用户身份信息
    String principal = principalCollection.getPrimaryPrincipal().toString();
    List<String> roles = userService.getUserRoleInfo(principal);
    System.out.println("用户当前身份信息：" + roles);
    // 2. 创建对象，存储当前登录的用户的权限和角色
    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.addRoles(roles);
    // 3. 返回
    return info;

3.6.5 授权验证- -获取权限进行验证

获取权限验证和获取角色相类似

创建库表

CREATE TABLE `permissions` (
`id` BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
`name` VARCHAR(30) DEFAULT NULL COMMENT '权限名',
`info` VARCHAR(30) DEFAULT NULL COMMENT '权限信息',
`desc` VARCHAR(50) DEFAULT NULL COMMENT '描述',
PRIMARY KEY (`id`)
) ENGINE=INNODB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8 COMMENT='权限表';

CREATE TABLE `role_ps`
(
    `id`  BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '编号',
    `rid` BIGINT(20) DEF
以上是关于Shiro知识总结二的主要内容，如果未能解决你的问题，请参考以下文章
 
 spring boot 2 + shiro 实现权限管理
 java 项目--安全框架--Shiro
 从零到实现Shiro中Authorization和Authentication的缓存
 一文总结 Shiro 实战教程
 Spring boot后台搭建二集成Shiro添加Remember Me
 Spring Boot + Vue + Shiro 实现前后端分离，写得太好了！