0
点赞
收藏
分享

微信扫一扫

Shiro介绍与入门

西红柿上校 2022-04-14 阅读 96
java

一、Shiro简介

1.基本功能点

Shiro 可以非常容易的开发出足够好的应用,其不仅可以用在 JavaSE 环境,也可以用在 JavaEE 环境。Shiro 可以帮助我们完成:认证、授权、加密、会话管理、与 Web 集成、缓存等。其基本功能点如下图所示:

Authentication身份认证 / 登录,验证用户是不是拥有相应的身份;
Authorization授权,即权限验证,验证某个已认证的用户是否拥有某个权限;即判断用户是否能做事情,常见的如:验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限;
Session Manage会话管理,即用户登录后就是一次会话,在没有退出之前,它的所有信息都在会话中;会话可以是普通 JavaSE 环境的,也可以是如 Web 环境的;
Cryptography加密,保护数据的安全性,如密码加密存储到数据库,而不是明文存储;
Web SupportWeb 支持,可以非常容易的集成到 Web 环境;
Caching缓存,比如用户登录后,其用户信息、拥有的角色 / 权限不必每次去查,这样可以提高效率;
Concurrencyshiro 支持多线程应用的并发验证,即如在一个线程中开启另一个线程,能把权限自动传播过去;
Testing提供测试支持;
Run As允许一个用户假装为另一个用户(如果他们允许)的身份进行访问;
Remember Me记住我,这个是非常常见的功能,即一次登录后,下次再来的话不用登录了。

2.Shiro的架构

1.外部

我们从外部来看 Shiro ,即从应用程序角度的来观察如何使用 Shiro 完成工作。如下图:

可以看到:应用代码直接交互的对象是 Subject,也就是说 Shiro 的对外 API核心就是 Subject;其每个 API 的含义:

Subject主体,代表了当前“用户”,这个用户不一定是一个具体的人,与当前应用交互的任何东西都是Subject,如网络爬虫,机器人等;即一个抽象概念;所有Subject 都绑定到SecurityManager,与Subject的所有交互都会委托给SecurityManager;可以把Subject认为是一个门面;SecurityManager才是实际的执行者;
 
SecurityManager安全管理器;即所有与安全有关的操作都会与SecurityManager 交互;且它管理着所有Subject;可以看出它是Shiro 的核心,它负责与后边介绍的其他组件进行交互,如果学习过SpringMVC,你可以把它看成DispatcherServlet前端控制器;
Realm,Shiro从从Realm获取安全数据(如用户、角色、权限),就是说SecurityManager要验证用户身份,那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法;也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作;可以把Realm看成DataSource,即安全数据源。
 

也就是说对于我们而言,最简单的一个 Shiro 应用:

  • 应用代码通过 Subject 来进行认证和授权,而 Subject 又委托给 SecurityManager;
  • 我们需要给 Shiro 的 SecurityManager 注入 Realm,从而让 SecurityManager 能得到合法的用户及其权限进行判断。

从以上也可以看出,Shiro 不提供维护用户 / 权限,而是通过 Realm 让开发人员自己注入。

2.内部

接下来我们来从 Shiro 内部来看下 Shiro 的架构,如下图所示:

subject主体,可以是用户也可以是程序,主体要访问系统,系统需要对主体进行认证、授权。
securityManager安全管理器,主体进行认证和授权都是通过securityManager进行。securityManager是一个集合,真正做事的不是securityManager而是它里面的东西。
authenticator认证器,主体进行认证最终通过authenticator进行的。
authorizer授权器,主体进行授权最终通过authorizer进行的。
sessionManageweb应用中一般是用web容器(中间件tomcat)对session进行管理,shiro也提供一套session管理的方式。shiro不仅仅可以用于web管理也可以用于cs管理,所以他不用web容器的session管理。
SessionDao通过SessionDao管理session数据,针对个性化的session数据存储需要使用sessionDao(如果用tomcat管理session就不用SessionDao,如果要分布式的统一管理session就要用到SessionDao)。
cache Manager缓存管理器,主要对session和授权数据进行缓存(权限管理框架主要就是对认证和授权进行管理,session是在服务器缓存中的),比如将授权数据通过cacheManager进行缓存管理,和ehcache整合对缓存数据进行管理(redis是缓存框架)。
realm域,领域,相当于数据源,通过realm存取认证、授权相关数据(原来是通过数据库取的)。注意:authenticator认证器和authorizer授权器调用realm中存储授权和认证的数据和逻辑。
cryptography密码管理,比如md5加密,提供了一套加密/解密的组件,方便开发。比如提供常用的散列、加/解密等功能。比如 md5散列算法(md5只有加密没有解密)。
 

 二、Shiro入门示例

1.身份验证

在 shiro 中,用户需要提供 principals (身份)和 credentials(证明)给 shiro,从而应用能验证用户身份:

  • principals:身份,即主体的标识属性,可以是任何东西,如用户名、邮箱等,唯一即可。一个主体可以有多个 principals,但只有一个 Primary principals,一般是用户名 / 密码 / 手机号。
  • credentials:证明 / 凭证,即只有主体知道的安全值,如密码 / 数字证书等。

最常见的 principals 和 credentials 组合就是用户名 / 密码了。接下来先进行一个基本的身份认证。

另外两个相关的概念是之前提到的 Subject 及 Realm,分别是主体及验证主体的数据源。

1.maven依赖配置


    <!--shiro-->
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>${shiro.version}</version>
    </dependency>
 
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-web</artifactId>
      <version>${shiro.version}</version>
    </dependency>
 
    <!-- **********************  日志配置  ********************** -->
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>${slf4j.version}</version>
    </dependency>
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>jcl-over-slf4j</artifactId>
      <version>${slf4j.version}</version>
      <scope>runtime</scope>
      <exclusions>
        <exclusion>
          <artifactId>slf4j-api</artifactId>
          <groupId>org.slf4j</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <!--2) 用于与slf4j保持桥接-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-slf4j-impl</artifactId>
      <version>${log4j2.version}</version>
      <exclusions>
        <exclusion>
          <artifactId>slf4j-api</artifactId>
          <groupId>org.slf4j</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <!--3) 核心log4j2jar包-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-api</artifactId>
      <version>${log4j2.version}</version>
    </dependency>
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-core</artifactId>
      <version>${log4j2.version}</version>
    </dependency>
    <!--4) web工程需要包含log4j-web,非web工程不需要-->
    <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-web</artifactId>
      <version>${log4j2.version}</version>
      <scope>runtime</scope>
    </dependency>
    <!--5) 需要使用log4j2的AsyncLogger需要包含disruptor-->
    <dependency>
      <groupId>com.lmax</groupId>
      <artifactId>disruptor</artifactId>
      <version>${log4j2.disruptor.version}</version>
    </dependency>

2.创建shiro配置文件shiro-user.ini

[users]
zs=123
ls=123
admin=123

 3.身份认证测试

    public static void main(String[] args) {
        //1、创建SecurityManagerFactory 读取ini数据源文件
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-user.ini");
        //2、创建安全管理器SecurityManager
        SecurityManager securityManager = factory.getInstance();
        //3、将SecurityManager交给SecurityUtil进行管理
        SecurityUtils.setSecurityManager(securityManager);
        //4、通过SecurityUtil获取登入用户主体subject
        Subject subject = SecurityUtils.getSubject();
        //5、创建登入令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "admin", "123"
        );
        //6、用户认证(shrio的核心功能之一)
        try {
            //异常
            //1.org.apache.shiro.authc.UnknownAccountException:账号错误异常
            //2.org.apache.shiro.authc.IncorrectCredentialsException:密码错误异常
            //3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
            e.printStackTrace();
        }

        //7、安全退出
        subject.logout();
        
        //输出:认证成功

    }
  • 首先通过 new IniSecurityManagerFactory 并指定一个 ini 配置文件来创建一个 SecurityManager 工厂;
  • 接着获取 SecurityManager 并绑定到 SecurityUtils,这是一个全局设置,设置一次即可;
  • 通过 SecurityUtils 得到 Subject,其会自动绑定到当前线程;如果在 web 环境在请求结束时需要解除绑定;然后获取身份验证的 Token,如用户名 / 密码;
  • 调用 subject.login 方法进行登录,其会自动委托给 SecurityManager.login 方法进行登录;
  • 如果身份验证失败请捕获 AuthenticationException 或其子类,常见的如: DisabledAccountException(禁用的帐号)、LockedAccountException(锁定的帐号)、UnknownAccountException(错误的帐号)、ExcessiveAttemptsException(登录失败次数过多)、IncorrectCredentialsException (错误的凭证)、ExpiredCredentialsException(过期的凭证)等,具体请查看其继承关系;对于页面的错误消息展示,最好使用如 “用户名 / 密码错误” 而不是 “用户名错误”/“密码错误”,防止一些恶意用户非法扫描帐号库;
  • 最后可以调用 subject.logout 退出,其会自动委托给 SecurityManager.logout 方法退出。

从如上代码可总结出身份验证的步骤:

2.角色验证

1.创建shiro配置文件shiro-role.ini

[users]
zs=123,role1
ls=123,role2
admin=123,role1,role2

2.角色验证测试

public static void main(String[] args) {
        //1、创建SecurityManagerFactory 读取ini数据源文件
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-role.ini");
        //2、创建安全管理器SecurityManager
        SecurityManager securityManager = factory.getInstance();
        //3、将SecurityManager交给SecurityUtil进行管理
        SecurityUtils.setSecurityManager(securityManager);
        //4、通过SecurityUtil获取登入用户主体subject
        Subject subject = SecurityUtils.getSubject();
        //5、创建登入令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "admin", "123"
        );
        //6、用户认证(shrio的核心功能之一)
        try {
            //异常
            //1.org.apache.shiro.authc.UnknownAccountException:账号错误异常
            //2.org.apache.shiro.authc.IncorrectCredentialsException:密码错误异常
            //3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
            e.printStackTrace();
        }
        //8.角色验证
        try {
            //方式一:hasRole 返回值true/false
            if (subject.hasRole("role1")) {
                System.out.println("角色验证成功");
            } else {
                System.out.println("角色验证失败");
            }
            //方式二:checkRole 只要验证失败就报异常
            //subject.checkRole("role1");
            //System.out.println("角色验证成功");

            //hasRoles: 参数List集合 返回boolean数组 返回顺序与传递顺序一一对应 传普通用户,高级用户,管理员 返回false,false,true
            //hasAllRoles: 参数Collection集合 返回true/false 如果有一个角色验证失败就返回false
        } catch (Exception e) {
            System.out.println("角色验证失败");
            e.printStackTrace();
        }

        //7、安全退出
        subject.logout();
        
        //输出:认证成功  角色验证成功
    }

3.权限验证 

1.创建shiro配置文件shiro-permission.ini

[users]
zs=123,role1
ls=123,role2
admin=123,role1,role2,role4
 
[roles]
role1=system:user:add
role2=system:user:add,system:user:select
role3=system:user:add,system:user:select,system:user:update,system:user:delete
role4=system:*:*

2.权限验证测试

    public static void main(String[] args) {
        //1、创建SecurityManagerFactory 读取ini数据源文件
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shrio-permission.ini");
        //2、创建安全管理器SecurityManager
        SecurityManager securityManager = factory.getInstance();
        //3、将SecurityManager交给SecurityUtil进行管理
        SecurityUtils.setSecurityManager(securityManager);
        //4、通过SecurityUtil获取登入用户主体subject
        Subject subject = SecurityUtils.getSubject();
        //5、创建登入令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "admin", "123"
        );
        //6、用户认证(shrio的核心功能之一)
        try {
            //异常
            //1.org.apache.shiro.authc.UnknownAccountException:账号错误异常
            //2.org.apache.shiro.authc.IncorrectCredentialsException:密码错误异常
            //3.org.apache.shiro.authz.UnauthorizedException: 授权错误异常
            subject.login(token);
            System.out.println("认证成功");
        } catch (AuthenticationException e) {
            System.out.println("认证失败");
            e.printStackTrace();
        }
        //8.角色验证
        try {

            //方式一:hasRole 返回值true/false
            if (subject.hasRole("role1")) {
                System.out.println("角色验证成功");
            } else {
                System.out.println("角色验证失败");
            }

            //方式二:checkRole 只要验证失败就报异常
            //subject.checkRole("role1");
            //System.out.println("角色验证成功");

            //hasRoles: 参数List集合 返回boolean数组 返回顺序与传递顺序一一对应 传普通用户,高级用户,管理员 返回false,false,true
            //hasAllRoles: 参数Collection集合 返回true/false 如果有一个角色验证失败就返回false
        } catch (Exception e) {
            System.out.println("角色验证失败");
            e.printStackTrace();
        }

        //9.权限验证
        try {
            //isPermitted方式
            if (subject.isPermitted("system:user:update")) {
                System.out.println("权限验证成功");
            } else {
                System.out.println("权限验证失败");
            }

            //checkPermission方式
            //subject.checkPermission("system:user:update");
            //System.out.println("权限验证成功");
        } catch (Exception e) {
            System.out.println("权限验证失败");
            e.printStackTrace();
        }
        //7、安全退出
        subject.logout();

    }

 三、Shrio与web集成

1.配置shiro-web.ini文件

[main]
#定义身份认证失败后的请求url映射,loginUrl是身份认证过滤器中的一个属性
authc.loginUrl=/login.do
#定义角色认证失败后的请求url映射,unauthorizedUrl是角色认证过滤器中的一个属性
roles.unauthorizedUrl=/unauthorized.jsp
#定义权限认证失败后请求url映射,unauthorizedUrl是角色认证过滤器中的一个属性
perms.unauthorizedUrl=/unauthorized.jsp
 
[users]
zs=123,role1
ls=123,role2
ww=123,role3
zdm=123,admin
 
 
[roles]
role1=user:create
role2=user:create,user:update
role3=user:create,user:update,user:delete,user:view,user:load
admin=user:*

2.配置web.xml

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xmlns="http://java.sun.com/xml/ns/javaee"
         xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
         id="WebApp_ID" version="3.0">
  <display-name>Archetype Created Web Application</display-name>
  <!--实现web项目与shrio集成配置,并完成shrio的初始化工作(加载读取shrio-web.ini)-->
  <context-param>
    <param-name>shiroConfigLocations</param-name>
    <param-value>classpath:shiro-web.ini</param-value>
  </context-param>
  <listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  </listener>
<!--配置shrio核心过滤器,用于过滤请求-->
  <filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>
  <!--配置登录与退出的servlet-->
  <servlet>
    <servlet-name>loginServlet</servlet-name>
    <servlet-class>com.zking.shrio.servlet.LoginServlet</servlet-class>
  </servlet>
  <servlet-mapping>
    <servlet-name>loginServlet</servlet-name>
    <url-pattern>/login.do</url-pattern>
  </servlet-mapping>

  <servlet>
    <servlet-name>logoutServlet</servlet-name>
    <servlet-class>com.zking.shrio.servlet.LogOutServlet</servlet-class>
  </servlet>
  <servlet-mapping>
    <servlet-name>logoutServlet</servlet-name>
    <url-pattern>/logout.do</url-pattern>
  </servlet-mapping>
  <!--配置欢迎页-->
  <welcome-file-list>
    <welcome-file>login.jsp</welcome-file>
  </welcome-file-list>
</web-app>

3.创建Servlet

登录Servlet

@WebServlet("/login.do")
public class LoginSevlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        this.doPost(req, resp);
    }
 
    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //获取前端传入的账号密码
        String username = req.getParameter("username");
        String password = req.getParameter("password");
 
        //根据账号密码创建登录令牌
        UsernamePasswordToken user = new UsernamePasswordToken(username, password);
 
        //获取主题Subject
        Subject subject = SecurityUtils.getSubject();
 
        try {
            //进行用户身份验证
            subject.login(user);
            //将账号信息保存到session中
            req.getSession().setAttribute("username",username);
            //重定向到主页面
            resp.sendRedirect(req.getContextPath()+"/main.jsp");
        } catch (Exception e) {
            req.setAttribute("message","账号或密码错误");
            req.getRequestDispatcher("/login.jsp").forward(req,resp);
            e.printStackTrace();
        }
 
    }
}

退出Servlet

@WebServlet("/logout.do")
public class LogoutServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        this.doPost(req, resp);
    }
 
    @Override
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        //获取主题Subject
        Subject subject = SecurityUtils.getSubject();
        //安全退出
        subject.logout();
        //重定向到登录页面
        resp.sendRedirect(req.getContextPath()+"/login.jsp");
    }
}

 4.创建登录页面Login.jsp

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>Title</title>
</head>
<body>
    <h1>用户登陆</h1>
    <div style="color: red">${message}</div>
    <form action="login.do" method="post">
        帐号:<input type="text" name="username"><br>
        密码:<input type="password" name="password"><br>
        <input type="submit" value="确定">
        <input type="reset" value="重置">
    </form>
</body>
</html>

 5.主页面

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@taglib prefix="r" uri="http://shiro.apache.org/tags" %>
<html>
<head>
    <title>Title</title>
</head>
<body>
<h1>主界面<%=System.currentTimeMillis()%>,欢迎您:[${sessionScope.username}]</h1>
<ul>
    系统功能列表
    <r:hasPermission name="user:update">
        <h1>海害嗨</h1>
    </r:hasPermission>
    <r:hasRole name="admin">
    <li>
        <a href="admin/addUser.jsp">用户新增</a>
    </li>
    </r:hasRole>
    <li>
        <a href="admin/listUser.jsp">用户查询</a>
    </li>
    <li>
        <a href="admin/resetPwd.jsp">重置用户密码</a>
    </li>
    <li>
        <a href="admin/updateUser.jsp">用户修改</a>
    </li>
    <li>
        <a href="user/updatePwd.jsp">个人密码修改</a>
    </li>
    <li>
        <a href="logout.do">退出系统</a>
    </li>
</ul>
<ul>
    shiro标签
    <li>
        <r:hasPermission name="user:create">
            <a href="admin/addUser.jsp">用户新增</a>
        </r:hasPermission>
    </li>
    <li>
        <a href="admin/listUser.jsp">用户查询</a>
    </li>
    <li>
        <a href="admin/resetPwd.jsp">重置用户密码</a>
    </li>
    <li>
        <r:hasPermission name="user:update">
            <a href="admin/updateUser.jsp">用户修改</a>
        </r:hasPermission>
    </li>
    <li>
        <a href="user/updatePwd.jsp">个人密码修改</a>
    </li>
    <li>
        <a href="logout.do">退出系统</a>
    </li>
</ul>
</body>
</html>

 6.权限未通过页面

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<html>
<head>
    <title>Title</title>
</head>
<body>
    <h1>未授权的操作</h1>
    <div>
        未授权的操作,请与管理员联系,或切换帐号重新<a href="logout.do">登陆</a>后再试!
    </div>
</body>
</html>

7.测试

1.账号或密码输入错误

 2.输入zs/123进入主页面

 3.点击没有权限的页面(用户查询)

 4.使用zdm/123进入主页面

 5.点击zs没有权限的用户查询

 

举报

相关推荐

Shiro入门以及Shiro与web整合

Shiro入门

shiro入门

Shiro-----Shiro入门简介

Shiro-11-web 介绍

0 条评论