Shiro 是 apache 旗下一个开源平安框架(http://shiro.apache.org), 它将 …
1)Subject: 主体对象, 负责提交用户认证和受权信息.
2)SecuritvManager: 平安管理器, 负责认证, 受权等业务实现.
3)Realm: 畛域对象, 负责从数据层获取业务数据.
1)增加 shiro 依赖
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.5.3</version>
</dependency>
2)shiro 外围对象配置
在 SpringBoot 我的项目中没有提供 shiro 的自动化配置, 须要咱们本人配置
第一步创立 SpringShiroConfig 类, 要害代码如下:
package com.cy.pj.common.config;
/**@Configuration 注解形容的类为一个配置对象,
* 此对象也会交给 spring 治理
*/
@Configuration
public class SpringShiroConfig {}
第二步在 Shiro 配置类中增加 SecurityManager 配置(这里肯定要应用 org.apache.shiro.mgt.SecurityManager 这个接口对象), 要害代码如下:
@Bean
public SecurityManager securityManager() {
DefaultWebSecurityManager sManager=
new DefaultWebSecurityManager();
return sManager;
}
第三步: 在 Shiro 配置类中增加 ShiroFilterFactoryBean 对象的配置。通过此对象设置资源匿名拜访, 认证拜访. 要害代码如下:
@Bean
public ShiroFilterFactoryBean shiroFilterFactory (SecurityManager securityManager) {
ShiroFilterFactoryBean sfBean=
new ShiroFilterFactoryBean();
sfBean.setSecurityManager(securityManager);
// 定义 map 指定申请过滤规定(哪些资源容许匿名拜访, 哪些必须认证拜访)
LinkedHashMap<String,String> map= new LinkedHashMap<>();
// 动态资源容许匿名拜访:"anon"
map.put("/bower_components/**","anon");
map.put("/build/**","anon");
map.put("/dist/**","anon");
map.put("/plugins/**","anon");
// 除了匿名拜访的资源, 其它都要认证 ("authc") 后拜访
map.put("/**","authc");
sfBean.setFilterChainDefinitionMap(map);
return sfBean;
}
业务形容当服务端拦挡到用户申请当前, 断定此申请是否曾经被认证, 如果没有认证应该先跳转到登录页面.
第一步在 Controller 层增加一个出现登录页面的办法, 要害代码如下:
@RequestMapping("doLoginUI")
public String doLoginUI(){return "login";}
第二步: 批改 SpringShiroConfig 类中 shiroFilterFactorybean 的配置, 增加登录的 url 的设置, 要害代码如下:
@Bean
public ShiroFilterFactoryBean shiroFilterFactory (SecurityManager securityManager) {
ShiroFilterFactoryBean sfBean=
new ShiroFilterFactoryBean();
sfBean.setSecurityManager(securityManager);
sfBean.setLoginUrl("/doLoginUI");
// 定义 map 指定申请过滤规定(哪些资源容许匿名拜访,
哪些必须认证拜访)
LinkedHashMap<String,String> map=
new LinkedHashMap<>();
// 动态资源容许匿名拜访:"anon"
map.put("/bower_components/**","anon");
map.put("/modules/**","anon");
map.put("/dist/**","anon");
map.put("/plugins/**","anon");
// 除了匿名拜访的资源, 其它都要认证 ("authc") 后拜访
map.put("/**","authc");
sfBean.setFilterChainDefinitionMap(map);
return sfBean;
}
身份认证即断定用户是否是零碎的非法用户, 用户拜访系统资源时的认证(对用户身份信息的认证)
1)零碎调用 subject 的 login 办法将用户信息提交给 SecurityManager
2)SecurityManager 将认证操作委托给认证器对象 Authenticator
3)Authenticator 将用户输出的身份认证信息传递个 Realm
4)Realm 拜访数据库获取用户信息而后对信息进行封装并返回
5)Authenticator 对 realm 返回的信息进行身份认证.
Dao 层
SysUser findUserByUserName(String username)。
SysUserMapper 文件增加 SQL
<select id="findUserByUserName"
resultType="com.cy.pj.sys.entity.SysUser">
select *
from sys_users
where username=#{username}
</select>
Service 接口及实现
第一步定义 ShiroUserRealm 类, 要害代码如下:
package com.cy.pj.sys.service.realm;
@Service
public class ShiroUserRealm extends AuthorizingRealm {
@Autowired
private SysUserDao sysUserDao;
/**
* 设置凭证匹配器(与用户增加操作应用雷同的加密算法)
*/
@Override
public void setCredentialsMatcher(CredentialsMatcher credentialsMatcher) {
// 构建凭证匹配对象
HashedCredentialsMatcher cMatcher=
new HashedCredentialsMatcher();
// 设置加密算法
cMatcher.setHashAlgorithmName("MD5");
// 设置加密次数
cMatcher.setHashIterations(1);
super.setCredentialsMatcher(cMatcher);
}
/**
* 通过此办法实现认证数据的获取及封装, 零碎
* 底层会将认证数据传递认证管理器，由认证
* 管理器实现认证操作。*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)
throws AuthenticationException {//1. 获取用户名(用户页面输出)
UsernamePasswordToken upToken=
(UsernamePasswordToken)token;
String username=upToken.getUsername();
//2. 基于用户名查问用户信息
SysUser user=
sysUserDao.findUserByUserName(username);
//3. 断定用户是否存在
if(user==null)
throw new UnknownAccountException();
//4. 断定用户是否已被禁用。if(user.getValid()==0)
throw new LockedAccountException();
//5. 封装用户信息
ByteSource credentialsSalt=
ByteSource.Util.bytes(user.getSalt());
// 记住：构建什么对象要看办法的返回值
SimpleAuthenticationInfo info=
new SimpleAuthenticationInfo(user,//principal (身份)
user.getPassword(),//hashedCredentials
credentialsSalt, //credentialsSalt
getName());//realName
//6. 返回封装后果
return info;// 返回值会传递给认证管理器(后续
// 认证管理器会通过此信息实现认证操作)
}
....
}
第二步: 对此 realm, 须要在 SpringShiroConfig 配置类中, 注入 SecurityManager 对象, 批改 securityManager 办法
@Bean
public SecurityManager securityManager(Realm realm) {
DefaultWebSecurityManager sManager=
new DefaultWebSecurityManager();
sManager.setRealm(realm);
return sManager;
}
Controller 层实现
第一步: 在 SysUserController 中增加解决登陆的办法. 要害代码如下:
public JsonResult doLogin(String username,String password){
//1. 获取 Subject 对象
Subject subject=SecurityUtils.getSubject();
//2. 通过 Subject 提交用户信息, 交给 shiro 框架进行认证操作
//2.1 对用户进行封装
UsernamePasswordToken token=
new UsernamePasswordToken(
username,// 身份信息
password);// 凭证信息
//2.2 对用户信息进行身份认证
subject.login(token);
// 剖析:
//1)token 会传给 shiro 的 SecurityManager
//2)SecurityManager 将 token 传递给认证管理器
//3)认证管理器会将 token 传递给 realm
return new JsonResult("login ok");
}
第二步: 批改 shiroFilerFactory 的配置, 对 /user/doLogin 这个门路进行匿名拜访的配置:
@Bean
public ShiroFilterFactoryBean shiroFilterFactory (SecurityManager securityManager) {
ShiroFilterFactoryBean sfBean=
new ShiroFilterFactoryBean();
sfBean.setSecurityManager(securityManager);
// 如果没有认证申请先拜访此认证的 url
sfBean.setLoginUrl("/doLoginUI");
// 定义 map 指定申请过滤规定(哪些资源容许匿名拜访, 哪些必须认证拜访)
LinkedHashMap<String,String> map=
new LinkedHashMap<>();
// 动态资源容许匿名拜访:"anon"
map.put("/bower_components/**","anon");
map.put("/build/**","anon");
map.put("/dist/**","anon");
map.put("/plugins/**","anon");
map.put("/user/doLogin","anon"); //authc 示意，除了匿名拜访的资源, 其它都要认证 ("authc") 后能力拜访拜访
map.put("/**","authc");
sfBean.setFilterChainDefinitionMap(map);
return sfBean;
}
第三步: 当咱们在执行登录操作时, 为了进步用户体验, 可对系统中的异样信息进行解决, 在对立的异样类中解决:
@ExceptionHandler(ShiroException.class)
@ResponseBody
public JsonResult doHandleShiroException(ShiroException e) {JsonResult r=new JsonResult();
r.setState(0);
if(e instanceof UnknownAccountException) {r.setMessage("账户不存在");
}else if(e instanceof LockedAccountException) {r.setMessage("账户已被禁用");
}else if(e instanceof IncorrectCredentialsException) {r.setMessage("明码不正确");
}else if(e instanceof AuthorizationException) {r.setMessage("没有此操作权限");
}else {r.setMessage("系统维护中");
}
e.printStackTrace();
return r;
}
1)零碎调用 subject 相干办法将用户信息 (例如 isPermitted) 递交给 SecurityManager.
2)SecurityManager 将权限检测信息交给 Authorize
3)Authorize 将用户信息委托给 realm
4)Realm 拜访数据库获取用户权限信息并封装
5)Autrorize 对用户受权信息进行断定
在 SpringShiroConfig 类中增加受权时的相干配置:
第一步: 配置 bean 对象的生命周期治理(SpringBoot 能够不必配置)
@Bean
public LifecycleBeanPostProcessor lifecycleBeanPostProcessor() {return new LifecycleBeanPostProcessor();
}
第二步: 通过如下配置为指标业务对象创立代理对象:(SpringBoot 中能够省略)
@DependsOn("lifecycleBeanPostProcessor")
@Bean
public DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {return new DefaultAdvisorAutoProxyCreator();
}
第三步: 配置 advisor 对象,shiro 框架会通过此对象的 matchs 办法返回值 (相似于切入点) 决定是否创立代理对象, 进行权限管制.
@Bean
public AuthorizationAttributeSourceAdvisor
authorizationAttributeSourceAdvisor (SecurityManager securityManager) {
AuthorizationAttributeSourceAdvisor advisor=
new AuthorizationAttributeSourceAdvisor();
advisor.setSecurityManager(securityManager);
return advisor;
}
// 阐明: 应用框架最重要的尊重规定, 框架规定指定了什么形式就应用什么形式。
Dao 实现
第一步: 在 SysUserRoleDao 中定义基于用户 id 查找角色 id 的办法:
List<Integer> findRoleIdsByUserId(Integer id);
第二步: 在 RoleMenuDao 中定义基于角色 id 查找菜单的 id 办法:
List<Integer> findMenuIdsByRoleIds(@Param("roleIds")List<Integer> roleIds);
第三步: 在 SysMenuDao 中基于菜单 id 查找权限标识的办法:
List<String> findPermissions(@Param("menuIds")
List<Integer> menuIds);
Mapper 实现
第一步: 在 SysUserRoleMapper 中定义 findRoleIdsByUserId 元素:
<select id="findRoleIdsByUserId"
resultType="int">
select role_id
from sys_user_roles
where user_id=#{userId}
</select>
第二步: 在 SysRoleMenuMapper 中定义 findMenuIdsByRoleIds 元素:
<select id="findMenuIdsByRoleIds"
resultType="int">
select menu_id
from sys_role_menus
where role_id in
<foreach collection="roleIds"
open="("
close=")"
separator=","
item="item">
#{item}
</foreach>
</select>