一、Shiro简介
1.基本功能点
Shiro 可以非常容易的开发出足够好的应用,其不仅可以用在 JavaSE 环境,也可以用在 JavaEE 环境。Shiro 可以帮助我们完成:认证、授权、加密、会话管理、与 Web 集成、缓存等。其基本功能点如下图所示:
Authentication | 身份认证 / 登录,验证用户是不是拥有相应的身份; |
Authorization | 授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限; |
Session Manage | 会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通 JavaSE 环境的,也可以是如 Web 环境的; |
Cryptography | 加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储; |
Web Support | Web 支持,可以非常容易的集成到 Web 环境; |
Caching | 缓存,比如用户登录后,其用户信息、拥有的角色 / 权限不必每次去查,这样可以提高效率; |
Concurrency | shiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去; |
Testing | 提供测试支持; |
Run As | 允许一个用户假装为另一个用户(如果他们允许)的身份进行访问; |
Remember Me | 记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了。 |
2.Shiro的架构
1.外部
我们从外部来看 Shiro ,即从应用程序角度的来观察如何使用 Shiro 完成工作。如下图:
可以看到:应用代码直接交互的对象是 Subject,也就是说 Shiro 的对外 API核心就是 Subject;其每个 API 的含义:
Subject | 主体,代表了当前“用户”,这个用户不一定是一个具体的人,与当前应用交互的任何东西都是Subject,如网络爬虫,机器人等;即一个抽象概念;所有Subject 都绑定到SecurityManager,与Subject的所有交互都会委托给SecurityManager;可以把Subject认为是一个门面;SecurityManager才是实际的执行者; |
SecurityManager | 安全管理器;即所有与安全有关的操作都会与SecurityManager 交互;且它管理着所有Subject;可以看出它是Shiro 的核心,它负责与后边介绍的其他组件进行交互,如果学习过SpringMVC,你可以把它看成DispatcherServlet前端控制器; |
Realm | 域,Shiro从从Realm获取安全数据(如用户、角色、权限),就是说SecurityManager要验证用户身份,那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法;也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作;可以把Realm看成DataSource,即安全数据源。 |
也就是说对于我们而言,最简单的一个 Shiro 应用:
- 应用代码通过 Subject 来进行认证和授权,而 Subject 又委托给 SecurityManager;
- 我们需要给 Shiro 的 SecurityManager 注入 Realm,从而让 SecurityManager 能得到合法的用户及其权限进行判断。
从以上也可以看出,Shiro 不提供维护用户 / 权限,而是通过 Realm 让开发人员自己注入。
2.内部
接下来我们来从 Shiro 内部来看下 Shiro 的架构,如下图所示:
subject | 主体,可以是用户也可以是程序,主体要访问系统,系统需要对主体进行认证、授权。 |
securityManager | 安全管理器,主体进行认证和授权都是通过securityManager进行。securityManager是一个集合,真正做事的不是securityManager而是它里面的东西。 |
authenticator | 认证器,主体进行认证最终通过authenticator进行的。 |
authorizer | 授权器,主体进行授权最终通过authorizer进行的。 |
sessionManage | web应用中一般是用web容器(中间件tomcat)对session进行管理,shiro也提供一套session管理的方式。shiro不仅仅可以用于web管理也可以用于cs管理,所以他不用web容器的session管理。 |
SessionDao | 通过SessionDao管理session数据,针对个性化的session数据存储需要使用sessionDao(如果用tomcat管理session就不用SessionDao,如果要分布式的统一管理session就要用到SessionDao)。 |
cache Manager | 缓存管理器,主要对session和授权数据进行缓存(权限管理框架主要就是对认证和授权进行管理,session是在服务器缓存中的),比如将授权数据通过cacheManager进行缓存管理,和ehcache整合对缓存数据进行管理(redis是缓存框架)。 |
realm | 域,领域,相当于数据源,通过realm存取认证、授权相关数据(原来是通过数据库取的)。注意:authenticator认证器和authorizer授权器调用realm中存储授权和认证的数据和逻辑。 |
cryptography | 密码管理,比如md5加密,提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等功能。比如 md5散列算法(md5只有加密没有解密)。 |
二、Shiro入门示例
1.身份验证
在 shiro 中,用户需要提供 principals (身份)和 credentials(证明)给 shiro,从而应用能验证用户身份:
- principals:身份,即主体的标识属性,可以是任何东西,如用户名、邮箱等,唯一即可。一个主体可以有多个 principals,但只有一个 Primary principals,一般是用户名 / 密码 / 手机号。
- credentials:证明 / 凭证,即只有主体知道的安全值,如密码 / 数字证书等。
最常见的 principals 和 credentials 组合就是用户名 / 密码了。接下来先进行一个基本的身份认证。
另外两个相关的概念是之前提到的 Subject 及 Realm,分别是主体及验证主体的数据源。
1.maven依赖配置
<!--shiro-->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
<version>${shiro.version}</version>
</dependency>
<!-- ********************** 日志配置 ********************** -->
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-api</artifactId>
<version>${slf4j.version}</version>
</dependency>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>jcl-over-slf4j</artifactId>
<version>${slf4j.version}</version>
<scope>runtime</scope>
<exclusions>
<exclusion>
<artifactId>slf4j-api</artifactId>
<groupId>org.slf4j</groupId>
</exclusion>
</exclusions>
</dependency>
<!--2) 用于与slf4j保持桥接-->
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-slf4j-impl</artifactId>
<version>${log4j2.version}</version>
<exclusions>
<exclusion>
<artifactId>slf4j-api</artifactId>
<groupId>org.slf4j</groupId>
</exclusion>
</exclusions>
</dependency>
<!--3) 核心log4j2jar包-->
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-api</artifactId>
<version>${log4j2.version}</version>
</dependency>
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-core</artifactId>
<version>${log4j2.version}</version>
</dependency>
<!--4) web工程需要包含log4j-web,非web工程不需要-->
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-web</artifactId>
<version>${log4j2.version}</version>
<scope>runtime</scope>
</dependency>
<!--5) 需要使用log4j2的AsyncLogger需要包含disruptor-->
<dependency>
<groupId>com.lmax</groupId>
<artifactId>disruptor</artifactId>
<version>${log4j2.disruptor.version}</version>
</dependency>
2.创建shiro配置文件shiro-user.ini
[users]
zs=123
ls=123
admin=123
3.身份认证测试
public static void main(String[] args) {
//1、创建SecurityManagerFactory 读取ini数据源文件
IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-user.ini");
//2、创建安全管理器SecurityManager
SecurityManager securityManager = factory.getInstance();
//3、将SecurityManager交给SecurityUtil进行管理
SecurityUtils.setSecurityManager(securityManager);
//4、通过SecurityUtil获取登入用户主体subject
Subject subject = SecurityUtils.getSubject();
//5、创建登入令牌token
UsernamePasswordToken token=new UsernamePasswordToken(
"admin", "123"
);
//6、用户认证(shrio的核心功能之一)
try {
//异常
//1.org.apache.shiro.authc.UnknownAccountException:账号错误异常
//2.org.apache.shiro.authc.IncorrectCredentialsException:密码错误异常
//3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
subject.login(token);
System.out.println("认证成功");
} catch (AuthenticationException e) {
System.out.println("认证失败");
e.printStackTrace();
}
//7、安全退出
subject.logout();
//输出:认证成功
}
- 首先通过 new IniSecurityManagerFactory 并指定一个 ini 配置文件来创建一个 SecurityManager 工厂;
- 接着获取 SecurityManager 并绑定到 SecurityUtils,这是一个全局设置,设置一次即可;
- 通过 SecurityUtils 得到 Subject,其会自动绑定到当前线程;如果在 web 环境在请求结束时需要解除绑定;然后获取身份验证的 Token,如用户名 / 密码;
- 调用 subject.login 方法进行登录,其会自动委托给 SecurityManager.login 方法进行登录;
- 如果身份验证失败请捕获 AuthenticationException 或其子类,常见的如: DisabledAccountException(禁用的帐号)、LockedAccountException(锁定的帐号)、UnknownAccountException(错误的帐号)、ExcessiveAttemptsException(登录失败次数过多)、IncorrectCredentialsException (错误的凭证)、ExpiredCredentialsException(过期的凭证)等,具体请查看其继承关系;对于页面的错误消息展示,最好使用如 “用户名 / 密码错误” 而不是 “用户名错误”/“密码错误”,防止一些恶意用户非法扫描帐号库;
- 最后可以调用 subject.logout 退出,其会自动委托给 SecurityManager.logout 方法退出。
从如上代码可总结出身份验证的步骤:
2.角色验证
1.创建shiro配置文件shiro-role.ini
[users]
zs=123,role1
ls=123,role2
admin=123,role1,role2
2.角色验证测试
public static void main(String[] args) {
//1、创建SecurityManagerFactory 读取ini数据源文件
IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-role.ini");
//2、创建安全管理器SecurityManager
SecurityManager securityManager = factory.getInstance();
//3、将SecurityManager交给SecurityUtil进行管理
SecurityUtils.setSecurityManager(securityManager);
//4、通过SecurityUtil获取登入用户主体subject
Subject subject = SecurityUtils.getSubject();
//5、创建登入令牌token
UsernamePasswordToken token=new UsernamePasswordToken(
"admin", "123"
);
//6、用户认证(shrio的核心功能之一)
try {
//异常
//1.org.apache.shiro.authc.UnknownAccountException:账号错误异常
//2.org.apache.shiro.authc.IncorrectCredentialsException:密码错误异常
//3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
subject.login(token);
System.out.println("认证成功");
} catch (AuthenticationException e) {
System.out.println("认证失败");
e.printStackTrace();
}
//8.角色验证
try {
//方式一:hasRole 返回值true/false
if (subject.hasRole("role1")) {
System.out.println("角色验证成功");
} else {
System.out.println("角色验证失败");
}
//方式二:checkRole 只要验证失败就报异常
//subject.checkRole("role1");
//System.out.println("角色验证成功");
//hasRoles: 参数List集合 返回boolean数组 返回顺序与传递顺序一一对应 传普通用户,高级用户,管理员 返回false,false,true
//hasAllRoles: 参数Collection集合 返回true/false 如果有一个角色验证失败就返回false
} catch (Exception e) {
System.out.println("角色验证失败");
e.printStackTrace();
}
//7、安全退出
subject.logout();
//输出:认证成功 角色验证成功
}
3.权限验证
1.创建shiro配置文件shiro-permission.ini
[users]
zs=123,role1
ls=123,role2
admin=123,role1,role2,role4
[roles]
role1=system:user:add
role2=system:user:add,system:user:select
role3=system:user:add,system:user:select,system:user:update,system:user:delete
role4=system:*:*
2.权限验证测试
public static void main(String[] args) {
//1、创建SecurityManagerFactory 读取ini数据源文件
IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-permission.ini");
//2、创建安全管理器SecurityManager
SecurityManager securityManager = factory.getInstance();
//3、将SecurityManager交给SecurityUtil进行管理
SecurityUtils.setSecurityManager(securityManager);
//4、通过SecurityUtil获取登入用户主体subject
Subject subject = SecurityUtils.getSubject();
//5、创建登入令牌token
UsernamePasswordToken token=new UsernamePasswordToken(
"admin", "123"
);
//6、用户认证(shrio的核心功能之一)
try {
//异常
//1.org.apache.shiro.authc.UnknownAccountException:账号错误异常
//2.org.apache.shiro.authc.IncorrectCredentialsException:密码错误异常
//3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
subject.login(token);
System.out.println("认证成功");
} catch (AuthenticationException e) {
System.out.println("认证失败");
e.printStackTrace();
}
//8.角色验证
try {
//方式一:hasRole 返回值true/false
if (subject.hasRole("role1")) {
System.out.println("角色验证成功");
} else {
System.out.println("角色验证失败");
}
//方式二:checkRole 只要验证失败就报异常
//subject.checkRole("role1");
//System.out.println("角色验证成功");
//hasRoles: 参数List集合 返回boolean数组 返回顺序与传递顺序一一对应 传普通用户,高级用户,管理员 返回false,false,true
//hasAllRoles: 参数Collection集合 返回true/false 如果有一个角色验证失败就返回false
} catch (Exception e) {
System.out.println("角色验证失败");
e.printStackTrace();
}
//9.权限验证
try {
//isPermitted方式
if (subject.isPermitted("system:user:update")) {
System.out.println("权限验证成功");
} else {
System.out.println("权限验证失败");
}
//checkPermission方式
//subject.checkPermission("system:user:update");
//System.out.println("权限验证成功");
} catch (Exception e) {
System.out.println("权限验证失败");
e.printStackTrace();
}
//7、安全退出
subject.logout();
}
三、Shrio与web集成
1.配置shiro-web.ini文件
[main]
#定义身份认证失败后的请求url映射,loginUrl是身份认证过滤器中的一个属性
authc.loginUrl=/login.do
#定义角色认证失败后的请求url映射,unauthorizedUrl是角色认证过滤器中的一个属性
roles.unauthorizedUrl=/unauthorized.jsp
#定义权限认证失败后请求url映射,unauthorizedUrl是角色认证过滤器中的一个属性
perms.unauthorizedUrl=/unauthorized.jsp
[users]
zs=123,role1
ls=123,role2
ww=123,role3
zdm=123,admin
[roles]
role1=user:create
role2=user:create,user:update
role3=user:create,user:update,user:delete,user:view,user:load
admin=user:*
2.配置web.xml
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns="http://java.sun.com/xml/ns/javaee"
xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
id="WebApp_ID" version="3.0">
<display-name>Archetype Created Web Application</display-name>
<!--实现web项目与shrio集成配置,并完成shrio的初始化工作(加载读取shrio-web.ini)-->
<context-param>
<param-name>shiroConfigLocations</param-name>
<param-value>classpath:shiro-web.ini</param-value>
</context-param>
<listener>
<listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>
<!--配置shrio核心过滤器,用于过滤请求-->
<filter>
<filter-name>ShiroFilter</filter-name>
<filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>ShiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<!--配置登录与退出的servlet-->
<servlet>
<servlet-name>loginServlet</servlet-name>
<servlet-class>com.zking.shrio.servlet.LoginServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>loginServlet</servlet-name>
<url-pattern>/login.do</url-pattern>
</servlet-mapping>
<servlet>
<servlet-name>logoutServlet</servlet-name>
<servlet-class>com.zking.shrio.servlet.LogOutServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>logoutServlet</servlet-name>
<url-pattern>/logout.do</url-pattern>
</servlet-mapping>
<!--配置欢迎页-->
<welcome-file-list>
<welcome-file>login.jsp</welcome-file>
</welcome-file-list>
</web-app>
3.创建Servlet
登录Servlet
@WebServlet("/login.do")
public class LoginSevlet extends HttpServlet {
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
this.doPost(req, resp);
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
//获取前端传入的账号密码
String username = req.getParameter("username");
String password = req.getParameter("password");
//根据账号密码创建登录令牌
UsernamePasswordToken user = new UsernamePasswordToken(username, password);
//获取主题Subject
Subject subject = SecurityUtils.getSubject();
try {
//进行用户身份验证
subject.login(user);
//将账号信息保存到session中
req.getSession().setAttribute("username",username);
//重定向到主页面
resp.sendRedirect(req.getContextPath()+"/main.jsp");
} catch (Exception e) {
req.setAttribute("message","账号或密码错误");
req.getRequestDispatcher("/login.jsp").forward(req,resp);
e.printStackTrace();
}
}
}
退出Servlet
@WebServlet("/logout.do")
public class LogoutServlet extends HttpServlet {
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
this.doPost(req, resp);
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
//获取主题Subject
Subject subject = SecurityUtils.getSubject();
//安全退出
subject.logout();
//重定向到登录页面
resp.sendRedirect(req.getContextPath()+"/login.jsp");
}
}
4.创建登录页面Login.jsp
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
<title>Title</title>
</head>
<body>
<h1>用户登陆</h1>
<div style="color: red">${message}</div>
<form action="login.do" method="post">
帐号:<input type="text" name="username"><br>
密码:<input type="password" name="password"><br>
<input type="submit" value="确定">
<input type="reset" value="重置">
</form>
</body>
</html>
5.主页面
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@taglib prefix="r" uri="http://shiro.apache.org/tags" %>
<html>
<head>
<title>Title</title>
</head>
<body>
<h1>主界面<%=System.currentTimeMillis()%>,欢迎您:[${sessionScope.username}]</h1>
<ul>
系统功能列表
<r:hasPermission name="user:update">
<h1>海害嗨</h1>
</r:hasPermission>
<r:hasRole name="admin">
<li>
<a href="admin/addUser.jsp">用户新增</a>
</li>
</r:hasRole>
<li>
<a href="admin/listUser.jsp">用户查询</a>
</li>
<li>
<a href="admin/resetPwd.jsp">重置用户密码</a>
</li>
<li>
<a href="admin/updateUser.jsp">用户修改</a>
</li>
<li>
<a href="user/updatePwd.jsp">个人密码修改</a>
</li>
<li>
<a href="logout.do">退出系统</a>
</li>
</ul>
<ul>
shiro标签
<li>
<r:hasPermission name="user:create">
<a href="admin/addUser.jsp">用户新增</a>
</r:hasPermission>
</li>
<li>
<a href="admin/listUser.jsp">用户查询</a>
</li>
<li>
<a href="admin/resetPwd.jsp">重置用户密码</a>
</li>
<li>
<r:hasPermission name="user:update">
<a href="admin/updateUser.jsp">用户修改</a>
</r:hasPermission>
</li>
<li>
<a href="user/updatePwd.jsp">个人密码修改</a>
</li>
<li>
<a href="logout.do">退出系统</a>
</li>
</ul>
</body>
</html>
6.权限未通过页面
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
<title>Title</title>
</head>
<body>
<h1>未授权的操作</h1>
<div>
未授权的操作,请与管理员联系,或切换帐号重新<a href="logout.do">登陆</a>后再试!
</div>
</body>
</html>
7.测试
1.账号或密码输入错误
2.输入zs/123进入主页面
3.点击没有权限的页面(用户查询)
4.使用zdm/123进入主页面
5.点击zs没有权限的用户查询