0
点赞
收藏
分享

微信扫一扫

Shiro介绍与入门

西红柿上校 2022-04-14 阅读 96
java

一、Shiro简介

1.基本功能点

Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在 JavaSE 环境，也可以用在 JavaEE 环境。Shiro 可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等。其基本功能点如下图所示：

Authentication身份认证 / 登录，验证用户是不是拥有相应的身份；
Authorization授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
Session Manage会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE 环境的，也可以是如 Web 环境的；
Cryptography加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
Web SupportWeb 支持，可以非常容易的集成到 Web 环境；
Caching缓存，比如用户登录后，其用户信息、拥有的角色 / 权限不必每次去查，这样可以提高效率；
Concurrencyshiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；
Testing提供测试支持；
Run As允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；
Remember Me记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。

2.Shiro的架构

1.外部

我们从外部来看 Shiro ，即从应用程序角度的来观察如何使用 Shiro 完成工作。如下图：

可以看到：应用代码直接交互的对象是 Subject，也就是说 Shiro 的对外 API核心就是 Subject；其每个 API 的含义：

Subject主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject 都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityManager才是实际的执行者；
 
SecurityManager安全管理器；即所有与安全有关的操作都会与SecurityManager 交互；且它管理着所有Subject；可以看出它是Shiro 的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；
Realm域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。
 

也就是说对于我们而言，最简单的一个 Shiro 应用：

  • 应用代码通过 Subject 来进行认证和授权，而 Subject 又委托给 SecurityManager；
  • 我们需要给 Shiro 的 SecurityManager 注入 Realm，从而让 SecurityManager 能得到合法的用户及其权限进行判断。

从以上也可以看出，Shiro 不提供维护用户 / 权限，而是通过 Realm 让开发人员自己注入。

2.内部

接下来我们来从 Shiro 内部来看下 Shiro 的架构，如下图所示：

subject主体，可以是用户也可以是程序，主体要访问系统，系统需要对主体进行认证、授权。
securityManager安全管理器，主体进行认证和授权都是通过securityManager进行。securityManager是一个集合,真正做事的不是securityManager而是它里面的东西。
authenticator认证器，主体进行认证最终通过authenticator进行的。
authorizer授权器，主体进行授权最终通过authorizer进行的。
sessionManageweb应用中一般是用web容器（中间件tomcat）对session进行管理，shiro也提供一套session管理的方式。shiro不仅仅可以用于web管理也可以用于cs管理，所以他不用web容器的session管理。
SessionDao通过SessionDao管理session数据，针对个性化的session数据存储需要使用sessionDao（如果用tomcat管理session就不用SessionDao，如果要分布式的统一管理session就要用到SessionDao）。
cache Manager缓存管理器，主要对session和授权数据进行缓存（权限管理框架主要就是对认证和授权进行管理，session是在服务器缓存中的），比如将授权数据通过cacheManager进行缓存管理，和ehcache整合对缓存数据进行管理（redis是缓存框架）。
realm域，领域，相当于数据源，通过realm存取认证、授权相关数据（原来是通过数据库取的）。注意：authenticator认证器和authorizer授权器调用realm中存储授权和认证的数据和逻辑。
cryptography密码管理，比如md5加密，提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。比如 md5散列算法（md5只有加密没有解密）。
 

 二、Shiro入门示例

1.身份验证

在 shiro 中，用户需要提供 principals （身份）和 credentials（证明）给 shiro，从而应用能验证用户身份：

  • principals：身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。一个主体可以有多个 principals，但只有一个 Primary principals，一般是用户名 / 密码 / 手机号。
  • credentials：证明 / 凭证，即只有主体知道的安全值，如密码 / 数字证书等。

最常见的 principals 和 credentials 组合就是用户名 / 密码了。接下来先进行一个基本的身份认证。

另外两个相关的概念是之前提到的 Subject 及 Realm，分别是主体及验证主体的数据源。

1.maven依赖配置


    <!--shiro-->
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>${shiro.version}</version>
    </dependency>
 
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-web</artifactId>
      <version>${shiro.version}</version>
    </dependency>
 
    <!-- **********************  日志配置  ********************** -->
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>${slf4j.version}</version>
    </dependency>
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>jcl-over-slf4j</artifactId>
      <version>${slf4j.version}</version>
      <scope>runtime</scope>
      <exclusions>
        <exclusion>
          <artifactId>slf4j-api</artifactId>
          <groupId>org.slf4j</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <!--2) 用于与slf4j保持桥接-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-slf4j-impl</artifactId>
      <version>${log4j2.version}</version>
      <exclusions>
        <exclusion>
          <artifactId>slf4j-api</artifactId>
          <groupId>org.slf4j</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <!--3) 核心log4j2jar包-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-api</artifactId>
      <version>${log4j2.version}</version>
    </dependency>
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-core</artifactId>
      <version>${log4j2.version}</version>
    </dependency>
    <!--4) web工程需要包含log4j-web，非web工程不需要-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-web</artifactId>
      <version>${log4j2.version}</version>
      <scope>runtime</scope>
    </dependency>
    <!--5) 需要使用log4j2的AsyncLogger需要包含disruptor-->
    <dependency>
      <groupId>com.lmax</groupId>
      <artifactId>disruptor</artifactId>
      <version>${log4j2.disruptor.version}</version>
    </dependency>

2.创建shiro配置文件shiro-user.ini

[users]
zs=123
ls=123
admin=123

 3.身份认证测试

    public static void main(String[] args) {
        //1、创建SecurityManagerFactory 读取ini数据源文件
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-user.ini");
        //2、创建安全管理器SecurityManager
        SecurityManager securityManager = factory.getInstance();
        //3、将SecurityManager交给SecurityUtil进行管理
        SecurityUtils.setSecurityManager(securityManager);
        //4、通过SecurityUtil获取登入用户主体subject
        Subject subject = SecurityUtils.getSubject();
        //5、创建登入令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "admin", "123"
        );
        //6、用户认证（shrio的核心功能之一）
        try {
            //异常
            //1.org.apache.shiro.authc.UnknownAccountException：账号错误异常
            //2.org.apache.shiro.authc.IncorrectCredentialsException：密码错误异常
            //3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
            e.printStackTrace();
        }

        //7、安全退出
        subject.logout();
        
        //输出：认证成功

    }
  • 首先通过 new IniSecurityManagerFactory 并指定一个 ini 配置文件来创建一个 SecurityManager 工厂；
  • 接着获取 SecurityManager 并绑定到 SecurityUtils，这是一个全局设置，设置一次即可；
  • 通过 SecurityUtils 得到 Subject，其会自动绑定到当前线程；如果在 web 环境在请求结束时需要解除绑定；然后获取身份验证的 Token，如用户名 / 密码；
  • 调用 subject.login 方法进行登录，其会自动委托给 SecurityManager.login 方法进行登录；
  • 如果身份验证失败请捕获 AuthenticationException 或其子类，常见的如： DisabledAccountException（禁用的帐号）、LockedAccountException（锁定的帐号）、UnknownAccountException（错误的帐号）、ExcessiveAttemptsException（登录失败次数过多）、IncorrectCredentialsException （错误的凭证）、ExpiredCredentialsException（过期的凭证）等，具体请查看其继承关系；对于页面的错误消息展示，最好使用如 “用户名 / 密码错误” 而不是 “用户名错误”/“密码错误”，防止一些恶意用户非法扫描帐号库；
  • 最后可以调用 subject.logout 退出，其会自动委托给 SecurityManager.logout 方法退出。

从如上代码可总结出身份验证的步骤：

2.角色验证

1.创建shiro配置文件shiro-role.ini

[users]
zs=123,role1
ls=123,role2
admin=123,role1,role2

2.角色验证测试

public static void main(String[] args) {
        //1、创建SecurityManagerFactory 读取ini数据源文件
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-role.ini");
        //2、创建安全管理器SecurityManager
        SecurityManager securityManager = factory.getInstance();
        //3、将SecurityManager交给SecurityUtil进行管理
        SecurityUtils.setSecurityManager(securityManager);
        //4、通过SecurityUtil获取登入用户主体subject
        Subject subject = SecurityUtils.getSubject();
        //5、创建登入令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "admin", "123"
        );
        //6、用户认证（shrio的核心功能之一）
        try {
            //异常
            //1.org.apache.shiro.authc.UnknownAccountException：账号错误异常
            //2.org.apache.shiro.authc.IncorrectCredentialsException：密码错误异常
            //3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
            e.printStackTrace();
        }
        //8.角色验证
        try {
            //方式一：hasRole 返回值true/false
            if (subject.hasRole("role1")) {
                System.out.println("角色验证成功");
            } else {
                System.out.println("角色验证失败");
            }
            //方式二:checkRole 只要验证失败就报异常
            //subject.checkRole("role1");
            //System.out.println("角色验证成功");

            //hasRoles: 参数List集合 返回boolean数组 返回顺序与传递顺序一一对应 传普通用户，高级用户，管理员 返回false，false，true
            //hasAllRoles: 参数Collection集合 返回true/false 如果有一个角色验证失败就返回false
        } catch (Exception e) {
            System.out.println("角色验证失败");
            e.printStackTrace();
        }

        //7、安全退出
        subject.logout();
        
        //输出：认证成功  角色验证成功
    }

3.权限验证 

1.创建shiro配置文件shiro-permission.ini

[users]
zs=123,role1
ls=123,role2
admin=123,role1,role2,role4
 
[roles]
role1=system:user:add
role2=system:user:add,system:user:select
role3=system:user:add,system:user:select,system:user:update,system:user:delete
role4=system:*:*

2.权限验证测试

    public static void main(String[] args) {
        //1、创建SecurityManagerFactory 读取ini数据源文件
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-permission.ini");
        //2、创建安全管理器SecurityManager
        SecurityManager securityManager = factory.getInstance();
        //3、将SecurityManager交给SecurityUtil进行管理
        SecurityUtils.setSecurityManager(securityManager);
        //4、通过SecurityUtil获取登入用户主体subject
        Subject subject = SecurityUtils.getSubject();
        //5、创建登入令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "admin", "123"
        );
        //6、用户认证（shrio的核心功能之一）
        try {
            //异常
            //1.org.apache.shiro.authc.UnknownAccountException：账号错误异常
            //2.org.apache.shiro.authc.IncorrectCredentialsException：密码错误异常
            //3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
            e.printStackTrace();
        }
        //8.角色验证
        try {

            //方式一：hasRole 返回值true/false
            if (subject.hasRole("role1")) {
                System.out.println("角色验证成功");
            } else {
                System.out.println("角色验证失败");
            }

            //方式二:checkRole 只要验证失败就报异常
            //subject.checkRole("role1");
            //System.out.println("角色验证成功");

            //hasRoles: 参数List集合 返回boolean数组 返回顺序与传递顺序一一对应 传普通用户，高级用户，管理员 返回false，false，true
            //hasAllRoles: 参数Collection集合 返回true/false 如果有一个角色验证失败就返回false
        } catch (Exception e) {
            System.out.println("角色验证失败");
            e.printStackTrace();
        }

        //9.权限验证
        try {
            //isPermitted方式
            if (subject.isPermitted("system:user:update")) {
                System.out.println("权限验证成功");
            } else {
                System.out.println("权限验证失败");
            }

            //checkPermission方式
            //subject.checkPermission("system:user:update");
            //System.out.println("权限验证成功");
        } catch (Exception e) {
            System.out.println("权限验证失败");
            e.printStackTrace();
        }
        //7、安全退出
        subject.logout();

    }

 三、Shrio与web集成

1.配置shiro-web.ini文件

[main]
#定义身份认证失败后的请求url映射，loginUrl是身份认证过滤器中的一个属性
authc.loginUrl=/login.do
#定义角色认证失败后的请求url映射，unauthorizedUrl是角色认证过滤器中的一个属性
roles.unauthorizedUrl=/unauthorized.jsp
#定义权限认证失败后请求url映射，unauthorizedUrl是角色认证过滤器中的一个属性
perms.unauthorizedUrl=/unauthorized.jsp
 
[users]
zs=123,role1
ls=123,role2
ww=123,role3
zdm=123,admin
 
 
[roles]
role1=user:create
role2=user:create,user:update
role3=user:create,user:update,user:delete,user:view,user:load
admin=user:*

2.配置web.xml

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xmlns="http://java.sun.com/xml/ns/javaee"
         xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
         id="WebApp_ID" version="3.0">
  <display-name>Archetype Created Web Application</display-name>
  <!--实现web项目与shrio集成配置，并完成shrio的初始化工作（加载读取shrio-web.ini）-->
  <context-param>
    <param-name>shiroConfigLocations</param-name>
    <param-value>classpath:shiro-web.ini</param-value>
  </context-param>
  <listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  </listener>
<!--配置shrio核心过滤器，用于过滤请求-->
  <filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>
  <!--配置登录与退出的servlet-->
  <servlet>
    <servlet-name>loginServlet</servlet-name>
    <servlet-class>com.zking.shrio.servlet.LoginServlet</servlet-class>
  </servlet>
  <servlet-mapping>
    <servlet-name>loginServlet</servlet-name>
    <url-pattern>/login.do</url-pattern>
  </servlet-mapping>

  <servlet>
    <servlet-name>logoutServlet</servlet-name>
    <servlet-class>com.zking.shrio.servlet.LogOutServlet</servlet-class>
  </servlet>
  <servlet-mapping>
    <servlet-name>logoutServlet</servlet-name>
    <url-pattern>/logout.do</url-pattern>
  </servlet-mapping>
  <!--配置欢迎页-->
  <welcome-file-list>
    <welcome-file>login.jsp</welcome-file>
  </welcome-file-list>
</web-app>

3.创建Servlet

登录Servlet

@WebServlet("/login.do")
public class LoginSevlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        this.doPost(req, resp);
    }
 
    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //获取前端传入的账号密码
        String username = req.getParameter("username");
        String password = req.getParameter("password");
 
        //根据账号密码创建登录令牌
        UsernamePasswordToken user = new UsernamePasswordToken(username, password);
 
        //获取主题Subject
        Subject subject = SecurityUtils.getSubject();
 
        try {
            //进行用户身份验证
            subject.login(user);
            //将账号信息保存到session中
            req.getSession().setAttribute("username",username);
            //重定向到主页面
            resp.sendRedirect(req.getContextPath()+"/main.jsp");
        } catch (Exception e) {
            req.setAttribute("message","账号或密码错误");
            req.getRequestDispatcher("/login.jsp").forward(req,resp);
            e.printStackTrace();
        }
 
    }
}

退出Servlet

@WebServlet("/logout.do")
public class LogoutServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        this.doPost(req, resp);
    }
 
    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //获取主题Subject
        Subject subject = SecurityUtils.getSubject();
        //安全退出
        subject.logout();
        //重定向到登录页面
        resp.sendRedirect(req.getContextPath()+"/login.jsp");
    }
}

 4.创建登录页面Login.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>Title</title>
</head>
<body>
    <h1>用户登陆</h1>
    <div style="color: red">${message}</div>
    <form action="login.do" method="post">
        帐号：<input type="text" name="username"><br>
        密码：<input type="password" name="password"><br>
        <input type="submit" value="确定">
        <input type="reset" value="重置">
    </form>
</body>
</html>

 5.主页面

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@taglib prefix="r" uri="http://shiro.apache.org/tags" %>
<html>
<head>
    <title>Title</title>
</head>
<body>
<h1>主界面<%=System.currentTimeMillis()%>，欢迎您：[${sessionScope.username}]</h1>
<ul>
    系统功能列表
    <r:hasPermission name="user:update">
        <h1>海害嗨</h1>
    </r:hasPermission>
    <r:hasRole name="admin">
    <li>
        <a href="admin/addUser.jsp">用户新增</a>
    </li>
    </r:hasRole>
    <li>
        <a href="admin/listUser.jsp">用户查询</a>
    </li>
    <li>
        <a href="admin/resetPwd.jsp">重置用户密码</a>
    </li>
    <li>
        <a href="admin/updateUser.jsp">用户修改</a>
    </li>
    <li>
        <a href="user/updatePwd.jsp">个人密码修改</a>
    </li>
    <li>
        <a href="logout.do">退出系统</a>
    </li>
</ul>
<ul>
    shiro标签
    <li>
        <r:hasPermission name="user:create">
            <a href="admin/addUser.jsp">用户新增</a>
        </r:hasPermission>
    </li>
    <li>
        <a href="admin/listUser.jsp">用户查询</a>
    </li>
    <li>
        <a href="admin/resetPwd.jsp">重置用户密码</a>
    </li>
    <li>
        <r:hasPermission name="user:update">
            <a href="admin/updateUser.jsp">用户修改</a>
        </r:hasPermission>
    </li>
    <li>
        <a href="user/updatePwd.jsp">个人密码修改</a>
    </li>
    <li>
        <a href="logout.do">退出系统</a>
    </li>
</ul>
</body>
</html>

 6.权限未通过页面

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>Title</title>
</head>
<body>
    <h1>未授权的操作</h1>
    <div>
        未授权的操作，请与管理员联系，或切换帐号重新<a href="logout.do">登陆</a>后再试！
    </div>
</body>
</html>

7.测试

1.账号或密码输入错误

 2.输入zs/123进入主页面

 3.点击没有权限的页面（用户查询）

 4.使用zdm/123进入主页面

 5.点击zs没有权限的用户查询

 

举报

相关推荐

Shiro入门以及Shiro与web整合

java后端

Shiro入门

java

shiro入门

springjava

Shiro-----Shiro入门简介

安全java开发语言

Shiro入门使用

ideapache当前用户虚拟化云计算

快速学习Shiro-Shiro的入门

Shiro的入门shiro安全用户名身份验证

Shiro官方文档之QuickStart（Shiro入门）

java后端

shiro整理2-----介绍Shiro 身份验证

java后端

shiro整理1-----介绍shiro的整体思路

java后端

Shiro-11-web 介绍

node.js
0 条评论