服务器之家:专注于服务器技术及软件下载分享
分类导航

云服务器|WEB服务器|FTP服务器|邮件服务器|虚拟主机|服务器安全|DNS服务器|服务器知识|Nginx|IIS|Tomcat|

服务器之家 - 服务器技术 - 服务器知识 - Apache shiro的简单介绍与使用教程(与spring整合使用)

Apache shiro的简单介绍与使用教程(与spring整合使用)

2022-02-17 20:26高压锅里的小白 服务器知识

Apache Shiro是一个强大而灵活的开源安全框架,它能够干净利落地处理身份认证,授权,企业会话管理和加密这篇文章给大家介绍了Apache shiro的简单介绍与使用教程(与spring整合使用),感兴趣的朋友一起看看吧

apache shiro框架简介

  apache shiro是一个强大而灵活的开源安全框架,它能够干净利落地处理身份认证,授权,企业会话管理和加密。现在,使用apache shiro的人越来越多,因为它相当简单,相比比spring security,shiro可能没有spring security那么多强大的功能,但是在实际工作时可能并不需要那么复杂的东西,所以使用简单的shiro就足够了。

  以下是你可以用 apache shiro所做的事情:

Apache shiro的简单介绍与使用教程(与spring整合使用)

  shiro的4大核心部分——身份验证,授权,会话管理和加密

     authentication:身份验证,简称“登录”。

     authorization:授权,给用户分配角色或者权限资源

     session management:用户session管理器,可以让cs程序也使用session来控制权限

     cryptography:把jdk中复杂的密码加密方式进行封装。

  除了以上功能,shiro还提供很多扩展   

  web support:主要针对web应用提供一些常用功能。

  caching:缓存可以使应用程序运行更有效率。

  concurrency:多线程相关功能。

  testing:帮助我们进行测试相关功能

  run as:一个允许用户假设为另一个用户身份(如果允许)的功能,有时候在管理脚本很有用。

  remember me:记住用户身份,提供类似购物车功能。

  shiro框架认证流程

Apache shiro的简单介绍与使用教程(与spring整合使用)

  application code:应用程序代码,由开发人员负责开发的

  subject:框架提供的接口,是与程序进行交互的对象,可以是人也可以是服务或者其他,通常就理解为用户。所有subject 实例都必须绑定到一个securitymanager上。我们与一个 subject 交互,运行时shiro会自动转化为与 securitymanager交互的特定 subject的交互。

  securitymanager:框架提供的接口,是 shiro的核心,代表安全管理器对象。初始化时协调各个模块运行。然而,一旦 securitymanager协调完毕,securitymanager 会被单独留下,且我们只需要去操作subject即可,无需操作securitymanager 。 但是我们得知道,当我们正与一个 subject 进行交互时,实质上是 securitymanager在处理 subject 安全操作。

  realm:可以开发人员编写,框架也提供一些。realms在 shiro中作为应用程序和安全数据之间的“桥梁”或“连接器”。他获取安全数据来判断subject是否能够登录,subject拥有什么权限。他有点类似dao。在配置realms时,需要至少一个realm。而且shiro提供了一些常用的 realms来连接数据源,如ldap数据源的jndildaprealm,jdbc数据源的jdbcrealm,ini文件数据源的inirealm,properties文件数据源的propertiesrealm,等等。我们也可以插入自己的 realm实现来代表自定义的数据源。 像其他组件一样,realms也是由securitymanager控制。

  更详细的图

Apache shiro的简单介绍与使用教程(与spring整合使用)

  下面就开始shiro与ssm工程的整合使用

  下载地址:

  下载下来这两个个文件,一个jar包,一个源码文件

Apache shiro的简单介绍与使用教程(与spring整合使用)

  首先,第一步,将jar包导入到工程中

  然后,第二步,在web.xml中配置spring框架提供的用于整合shiro框架的过滤器(一定要放到springmvc或struts框架过滤器的前面,为了保险起见,放到最上面就好了)

?
1
2
3
4
5
6
7
8
9
<!--配置过滤器,用于整合shiro-->
<filter>
  <filter-name>shirofilter</filter-name>
  <filter-class>org.springframework.web.filter.delegatingfilterproxy</filter-class>
</filter>
<filter-mapping>
  <filter-name>shirofilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

  第三步,在spring配置文件中配置bean,id为shirofilter

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
<!-- 配置shiro框架的过滤器工厂bean -->
<bean id="shirofilter" class="org.apache.shiro.spring.web.shirofilterfactorybean">
  <property name="securitymanager" ref="securitymanager"/>
    <property name="loginurl" value="/index.jsp"/>
  <property name="successurl" value=""/>
  <property name="unauthorizedurl" value="/noprivilegeui.jsp"/>
  <!-- 指定url级别拦截策略 -->
  <property name="filterchaindefinitions">
    <value>
      /script/** = anon
      /style/** = anon
      /index.jsp* = anon
      /noprivilegeui.jsp* = anon
      /user/login = anon
       /role/findallrolelist = perms["角色管理"]
      /** = authc
    </value>
  </property>
</bean>

  securitymanager:这个属性是必须的。

  loginurl :没有登录的用户请求需要登录的页面时自动跳转到登录页面,不是必须的属性,不输入地址的话会自动寻找项目web项目的根目录下的”/login.jsp”页面。

  successurl :登录成功默认跳转页面,可以不配置,不配置则跳转至”/”。如果登陆前点击的一个需要登录的页面,则在登录自动跳转到那个需要登录的页面。不跳转到此。

  unauthorizedurl :没有权限默认跳转的页面。

Apache shiro的简单介绍与使用教程(与spring整合使用)

  anon: 例子/admins/** = anon 没有参数,表示可以匿名使用(需要认证(登录))。

  authc : 例如/admins/user/** = authc 表示需要认证(登录)才能使用,没有参数

  roles:例子/admins/user/** = roles[admin], 参数可以写多个,多个时必须加上引号,并且参数之间用逗号分割,当有多个参数时,例如admins/user/** = roles["admin,guest"], 每个参数通过才算通过,相当于hasallroles()方法。

  perms:例子/admins/user/** = perms[user:add:*], 参数可以写多个,多个时必须加上引号,并且参数之间用逗号分割,例如/admins/user/** = perms["user:add:*,user:modify:*"],当有多个参数时必须每个参数都通过才通过,想当于  ispermitedall()方法。

  rest:例子/admins/user/** = rest[user];根据请求的方法,相当于/admins/user/** = perms[user:method] ;其中method为post,get,delete等。

  port:例子/admins/user/** = port[8081]; 当请求的url的端口不是8081是跳转到schemal://servername:8081?querystring,其中schmal是协议http或https等,servername是你访问的host,8081是url配置里port的端口,querystring

是你访问的url里的?后面的参数。

  authcbasic:例如/admins/user/** = authcbasic; 没有参数表示httpbasic认证

  ssl:例子/admins/user/** = ssl;没有参数,表示安全的url请求,协议为https

  user:例如/admins/user/** = user; 没有参数表示必须存在用户,当登入操作时不做检查

  注:anon,authcbasic,auchc,user是认证过滤器,

    perms,roles,ssl,rest,port是授权过滤器

  第四步:配置安全管理器

?
1
2
<!-- 配置安全管理器 -->
<bean id="securitymanager" class="org.apache.shiro.web.mgt.defaultwebsecuritymanager"/>

  第五步:写一个login方法,使用shiro提供的方式进行认证操作

  这是我之前的login方法,以这种方法,shiro是不知道登录验证通过了的,一直不通过,所以我们要以shiro提供的认证操作方式进行登录操作

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
/**
 * 登录
 */
@requestmapping("/login")
public string login(user user, httpservletrequest request, model model){
  httpsession session = request.getsession();
  user newuser = userservice.login(user);
  if(newuser != null){
    session.setattribute("loginuser",newuser);
    return "home/home";
  }
  model.addattribute("errormessage","用户名或者密码不正确!");
  return "forward:/index.jsp";
}

   修改后的login方法

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
/**
 * 使用shiro框架提供的方式进行认证登录
 */
@requestmapping("/login")
public string login(user user, httpservletrequest request, model model){
  httpsession session = request.getsession();
  //使用shiro框架提供的方式进行认证
  subject subject = securityutils.getsubject(); //获得当前登录用户对象,现在状态为 “未认证”
  //用户名密码令牌
  authenticationtoken token = new usernamepasswordtoken(user.getloginname(), md5utils.md5(user.getpassword()));
  try{
    subject.login(token); //执行你自定义的realm
    user user1 = (user) subject.getprincipal();
    session.setattribute("loginuser",user1);
    return "home/home";
  }catch(unknownaccountexception e){
    e.printstacktrace();
    model.addattribute("errormessage","此用户名不存在!");
  }catch(incorrectcredentialsexception e){
    e.printstacktrace();
    model.addattribute("errormessage","密码不正确!");
  }catch(exception e){
    e.printstacktrace();
  }
  return "forward:/index.jsp";
}

  第六步:自定义realm,并注入给安全管理器 

  创建一个userrealm类,继承authorizingrealm这个类 

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
public class userrealm extends authorizingrealm{
  @autowired
  private userdao userdao;
   //认证方法
  @override
  protected authenticationinfo dogetauthenticationinfo(authenticationtoken token) throws authenticationexception {
    system.out.println("realm中的认证方法执行了。。。。");
    usernamepasswordtoken mytoken = (usernamepasswordtoken) token;
    string loginname = mytoken.getusername();
    //根据用户名查询数据库中的用户,这个方法是自己写的
    user user = userdao.finduserbyloginname(loginname);
    if(user == null){
      //用户名不存在
      return null;
    }
    //如果能查询到,再由框架比对数据库中查询到的密码和页面提交的密码是否一致
    authenticationinfo info = new simpleauthenticationinfo(user, user.getpassword(), this.getname());
    return info;
  }
   //授权方法
  @override
  protected authorizationinfo dogetauthorizationinfo(principalcollection principals) {
    return null;
  }
}

  将自定义realm注入给安全管理器

?
1
2
3
4
5
6
7
<!-- 配置安全管理器 -->
  <bean id="securitymanager" class="org.apache.shiro.web.mgt.defaultwebsecuritymanager">
    <!-- 注入realm -->
    <property name="realm" ref="userrealm"/>
  </bean>
  <!-- 注册自定义realm -->
  <bean id="userrealm" class="com.demo.privilege.service.realm.userrealm"/>

  到这里程序就可以正常运行了,登录后进入首页

Apache shiro的简单介绍与使用教程(与spring整合使用)

  但是点击角色管理,会进入没有权限的页面

Apache shiro的简单介绍与使用教程(与spring整合使用)

  这是因为我在spring配置文件中配置了   /role/findallrolelist = perms["角色管理"],而我还没有给当前用户授权,所以当前用户没有权限访问此路径

  所以要给该用户授权,在userrealm类中,编写授权方法

?
1
2
3
4
5
6
7
8
9
10
11
12
//授权方法
  @override
  protected authorizationinfo dogetauthorizationinfo(principalcollection principals){
    simpleauthorizationinfo info = new simpleauthorizationinfo();
    user user = (user) principals.getprimaryprincipal();
    for (role role : user.getroles()){
      for (privilege privilege : role.getprivileges()){
        info.addstringpermission(privilege.getname());
      }
    }
    return info;
  }

  这样,就可以正常访问了,这个授权方法是在访问/role/findallrolelist这个路径时,shiro框架自动调用的

  我们之前进行权限控制是在spring配置文件中配置了   /role/findallrolelist = perms["角色管理"] ,现在介绍另一种方式,也是我比较喜欢的方式, 使用注解方式进行权限控制

   使用shiro的方法注解方式权限控制

  第一步:在springmvc配置文件中开启shiro注解支持(注意:springmvc框架,放到springmvc配置文件中,struts放到spring配置文件中) 

?
1
2
3
4
5
6
7
8
9
10
11
<!-- 保证实现了shiro内部lifecycle函数的bean执行 -->
  <bean id="lifecyclebeanpostprocessor" class="org.apache.shiro.spring.lifecyclebeanpostprocessor"/>
  <!-- 开启shiro框架注解支持 -->
  <!-- 自动代理 -->
  <bean id="defaultadvisorautoproxycreator" class="org.springframework.aop.framework.autoproxy.defaultadvisorautoproxycreator" depends-on="lifecyclebeanpostprocessor">
    <!-- value必须设置为true使用cglib方式为对象创建代理对象,
      默认为false,设为false,就是使用jdk方式为对象创建代理对象,程序会出错 -->
    <property name="proxytargetclass" value="true"/>
  </bean>
  <!-- 配置shiro框架提供的切面类,用于创建代理对象 -->
  <bean class="org.apache.shiro.spring.security.interceptor.authorizationattributesourceadvisor"/>

  第二步:在controller的方法上使用shiro注解------ @requirespermissions("") 执行这个方法必须有相应的权限  

?
1
2
3
4
5
6
7
8
9
10
/**
  * 查询岗位列表
  */
 @requirespermissions("角色列表") //执行这个方法必须有角色列表这个权限
 @requestmapping("/findallrolelist")
 public string findallrolelist(model model){
   list<role> rolelist = roleservice.findallrolelist();
   model.addattribute("rolelist",rolelist);
   return "role/list";
 }

  @requiresauthentication

    验证用户是否登录,等同于方法subject.isauthenticated() 结果为true时。

  @ requiresuser

    验证用户是否被记忆,user有两种含义:

    一种是成功登录的(subject.isauthenticated() 结果为true);

    另外一种是被记忆的( subject.isremembered()结果为true)。

  @ requiresguest

    验证是否是一个guest的请求,与@ requiresuser完全相反。

           换言之,requiresuser  == ! requiresguest 。

      此时subject.getprincipal() 结果为null.

  @ requiresroles

    例如:

?
1
2
@requiresroles("arolename");
            void somemethod();

    如果subject中有arolename角色才可以访问方法somemethod。如果没有这个权限则会抛出异常authorizationexception。

  @requirespermissions

    例如:

?
1
2
@requirespermissions( {"file:read", "write:afile.txt"} )
            void somemethod();

    要求subject中必须同时含有file:read和write:afile.txt的权限才能执行方法somemethod()。否则抛出异常authorizationexception。

   注解方式的权限控制就完成了,但这种方式没有权限时不会自动跳转到没有权限的页面,而是直接把异常抛到页面了,所以我们要配置一个全局的异常处理

  第三步:在springmvc配置文件中,进行如下配置,配置全局异常捕获,当shiro框架抛出权限不足异常时,跳转到权限不足提示页面

?
1
2
3
4
5
6
7
8
<!-- 全局异常处理 --> 
  <bean class="org.springframework.web.servlet.handler.simplemappingexceptionresolver">
    <property name="exceptionmappings">
      <props>
        <prop key="org.apache.shiro.authz.unauthorizedexception">redirect:/noprivilegeui.jsp</prop>
      </props>
    </property>
  </bean>

  使用shiro提供的页面标签方式权限控制

  最后,说一说shiro提供的页面标签  

  第一步:在jsp页面中引入shiro的标签库

?
1
<%@ taglib uri="http://shiro.apache.org/tags" prefix="shiro"%>

  第二步:使用shiro的标签控制页面元素展示

Apache shiro的简单介绍与使用教程(与spring整合使用)

  这样,一个shiro入门程序就完成了。

总结

以上所述是小编给大家介绍的apache shiro的简单介绍与使用教程(与spring整合使用),希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对服务器之家网站的支持!

原文链接:http://www.cnblogs.com/xiaobai1226/p/7634575.html

延伸 · 阅读

精彩推荐