Shiro

一、Shiro簡介

Apache Shiro是Java的一個安全（權限）框架，
Shiro可以相比Spring Security更加便捷，不僅適用于JavaSe環境，也可以用在Java EE環境
Shiro的作用：
- 認證
- 授權
- 加密
- 會話管理
- Web集成
- 快取

二、功能簡介

Authentication：身份認證 / 登錄，驗證用戶是不是擁有相應的身份；

Authorization：授權，即權限驗證，驗證某個已認證的用戶是否擁有某個權限；即判斷用戶是否能做事情，常見的如：驗證某個用戶是否擁有某個角色，或者細粒度的驗證某個用戶對某個資源是否具有某個權限；

Session Management：會話管理，即用戶登錄后就是一次會話，在沒有退出之前，它的所有資訊都在會話中；會話可以是普通 JavaSE 環境的，也可以是如 Web 環境的；

Cryptography：加密，保護資料的安全性，如密碼加密存盤到資料庫，而不是明文存盤；

Web Support：Web 支持，可以非常容易的集成到 Web 環境；

Caching：快取，比如用戶登錄后，其用戶資訊、擁有的角色 / 權限不必每次去查，這樣可以提高效率；

Concurrency：shiro 支持多執行緒應用的并發驗證，即如在一個執行緒中開啟另一個執行緒，能把權限自動傳播過去；

Testing：提供測驗支持；

Run As：允許一個用戶假裝為另一個用戶（如果他們允許）的身份進行訪問；

Remember Me：記住我，這個是非常常見的功能，即一次登錄后，下次再來的話不用登錄了，

記住一點，Shiro 不會去維護用戶、維護權限；這些需要我們自己去設計 / 提供；然后通過相應的介面注入給 Shiro 即可，

三、Shiro的架構

Subject：主體，代表了當前“用戶”，這個用戶不一定是一個具體的人，與當前應用互動的任何東西都是Subject，如網路爬蟲，機器人等；即一個抽象概念；所有Subject都系結到SecurityManager，與Subject的所有互動都會委托給SecurityManager；可以把Subject認為是一個門面；SecurityManager才是執行者；
SecurityManager：安全管理器；即所有與安全有關的操作都會與SecurityManager互動；且它管理著所有Subject；可以看出它是Shiro的核心，它負責與后邊結算的其他組件進行互動，如果學習過SpringMVC,你可以把它看成DispatcherServlet前端控制器；
Realm：域；Shiro從Realm獲取安全資料（如用戶、角色、權限），就是說SecurityManager要驗證用戶身份，那么它需要從Realm獲取相應的用戶進行比較以確定用戶身份是否合法；也需要從Realm得到用戶相應的角色/權限進行驗證用戶是否能進行操作；可以把Realm看成DataSource,即安全資料源，

Shiro框架

四、JavaSE環境與Shiro整合

JavaSE環境搭建Shiro框架

①.匯入jar包

<dependency>
      <groupId>junit</groupId>
      <artifactId>junit</artifactId>
      <version>4.9</version>
      <scope>test</scope>
    </dependency>
    <dependency>
      <groupId>commons-logging</groupId>
      <artifactId>commons-logging</artifactId>
      <version>1.1.3</version>
    </dependency>
    <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>1.2.2</version>
    </dependency>
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>1.6.1</version>
    </dependency>

②.組態檔：存盤臨時檔案

shiro.ini檔案：存盤資料，用戶名、密碼、角色、權限

用戶名=密碼，角色1，角色2......

角色=權限

#用戶
[users]
#用戶zhang的密碼是123，此用戶具有role1和role2兩個角色
zhang=123,role1,role2
wang=123,role2

#權限
[roles]
#角色role1對資源user擁有create、update權限
role1=user:create,user:update
#角色role2對資源user擁有create、delete權限
role2=user:create,user:delete
#角色role3對資源user擁有create權限
role3=user:create

java實體代碼：

public class HelloShiro {
    private static final Logger log = LoggerFactory.getLogger(HelloShiro.class);

    public static void main(String[] args) {
        log.info("hello.......shiro");
        /**
         * 1.獲取安全管理器
         * 2.獲取用戶
         * 3.用戶登錄驗證
         * 4.權限管理
         * 5.角色管理
         * 6.session:
         */
        // 1.獲取安全管理器
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        // 2.需要設定安全管理器
        SecurityUtils.setSecurityManager(securityManager);
        // 3.獲取subject物件，即將登錄的用戶
        Subject subject = SecurityUtils.getSubject();

        Session session = subject.getSession();
        session.setAttribute("name","小明");
        String name = (String) session.getAttribute("name");
        // 表示未登錄
        if (subject.isAuthenticated() == false) {
            UsernamePasswordToken token = new UsernamePasswordToken("zhang","123");
            token.setRememberMe(true);
            try {
                subject.login(token);
                log.info("登錄成功：{}",name);
            } catch (UnknownAccountException e) {
                log.error("賬號不存在");
            } catch (IncorrectCredentialsException e) {
                log.error("密碼錯誤");
            } catch (LockedAccountException e) {
                log.error("用戶已經鎖死");
            } catch (AuthenticationException e) {
                log.error("認證例外");
            }
        }
        if (subject.hasRole("role1")) {
            log.info("擁有指定的角色");
        } else {
            log.error("不擁有指定的角色");
        }
        if (subject.isPermitted("user:create")) {
            log.info("擁有指定的權限");
        } else {
            log.error("當前用戶沒有指定的權限");
        }


        // 退出登錄
        subject.logout();

    }

五、與Spring的集成

1、Spring、Spring MVC的搭建

—匯入與框架相關的jar

<dependencies>
            <dependency>
                <groupId>junit</groupId>
                <artifactId>junit</artifactId>
                <version>4.11</version>
                <scope>test</scope>
            </dependency>
            <dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-core</artifactId>
                <version>1.3.2</version>
            </dependency>
            <dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-spring</artifactId>
                <version>1.3.2</version>
            </dependency>
            <dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-ehcache</artifactId>
                <version>1.3.2</version>
            </dependency>
            <dependency>
                <groupId>commons-logging</groupId>
                <artifactId>commons-logging</artifactId>
                <version>1.1.3</version>
            </dependency>
            <dependency>
                <groupId>org.slf4j</groupId>
                <artifactId>slf4j-api</artifactId>
                <version>1.6.1</version>
            </dependency>
            <dependency>
                <groupId>org.slf4j</groupId>
                <artifactId>slf4j-log4j12</artifactId>
                <version>1.6.1</version>
            </dependency>
            <dependency>
                <groupId>org.springframework</groupId>
                <artifactId>spring-webmvc</artifactId>
                <version>5.2.8.RELEASE</version>
            </dependency>
            <dependency>
                <groupId>org.springframework</groupId>
                <artifactId>spring-context</artifactId>
                <version>5.2.8.RELEASE</version>
            </dependency>
            <dependency>
                <groupId>org.springframework</groupId>
                <artifactId>spring-aop</artifactId>
                <version>5.2.8.RELEASE</version>
            </dependency>
        </dependencies>

—web.xml

<!DOCTYPE web-app PUBLIC
 "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN"
 "http://java.sun.com/dtd/web-app_2_3.dtd" >

<web-app>
  <!--Spring組態檔-->
  <context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>classpath:applicationContext.xml</param-value>
  </context-param>
  <!--Spring監聽器-->
  <listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
  </listener>

  <!--springMvc核心控制器-->
  <servlet>
    <servlet-name>dispatcherServlet</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <init-param>
      <param-name>contextConfigLocation</param-name>
      <param-value>classpath:spring-mvc.xml</param-value>
    </init-param>
    <load-on-startup>1</load-on-startup>
  </servlet>
  <servlet-mapping>
    <servlet-name>dispatcherServlet</servlet-name>
    <url-pattern>/*</url-pattern>
  </servlet-mapping>
  <!--shiro核心過濾器-->
  <filter>
    <filter-name>shiroFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    <init-param>
      <param-name>targetFilterLifecycle</param-name>
      <param-value>true</param-value>
    </init-param>
  </filter>
  <filter-mapping>
    <filter-name>shiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

</web-app>

--applicationContext.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">

    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="cacheManager" ref="cacheManager"/>
        <property name="sessionManager" value="native"/>
        <property name="realm" ref="jdbcRealm"/>
    </bean>

    <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <property name="cacheManagerConfigFile" value="classpath:/ehcache.xml"/>
    </bean>

    <bean id="jdbcRealm" class="com.shiro.realm.ShiroRealm"/>

    <!--必須要有這樣的實體，用來管理在Spring容器當中的Shiro常見的物件-->
    <bean class="org.apache.shiro.spring.LifecycleBeanPostProcessor" id="lifecycleBeanPostProcessor"/>

    <!--啟用shiro注解-->
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/>
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>
    <!--網路方面-->
    <bean id="secureRemoteInvocationExecutor" class="org.apache.shiro.spring.remoting.SecureRemoteInvocationExecutor">
        <property name="securityManager" ref="securityManager"/>
    </bean>
    <!--配置shiro過濾器
        1.shiroFilter這個bena的id必須與web.xml配置的一致
    -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager"/>
        <property name="loginUrl" value="/login.jsp"/>
        <property name="successUrl" value="/index.jsp"/>
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        <!--代表我們要完成shiro過濾器的具體配置-->
        <property name="filterChainDefinitions">
            <value>
                <!--不用登錄就能直接訪問-->
                /login.jsp = anon
                <!--代表必須經過認證才能訪問-->
                /** = authc
            </value>
        </property>
     </bean>
</beans>

--spring-mvc.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xmlns:mvc="http://www.springframework.org/schema/mvc"
       xmlns:context="http://www.springframework.org/schema/context"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
           http://www.springframework.org/schema/beans/spring-beans.xsd
           http://www.springframework.org/schema/mvc
           http://www.springframework.org/schema/mvc/spring-mvc-3.0.xsd
           http://www.springframework.org/schema/context
           http://www.springframework.org/schema/context/spring-context-3.0.xsd">

    <context:component-scan base-package="*"/>
    <mvc:annotation-driven/>
    <mvc:default-servlet-handler/>

    <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">
        <property name="prefix" value="/"/>
        <property name="suffix" value=".jsp"/>
    </bean>

</beans>

--shiro.ini

#用戶
[users]
#用戶zhang的密碼是123，此用戶具有role1和role2兩個角色
zhang=123,role1,role2
wang=123,role2

#權限
[roles]
#角色role1對資源user擁有create、update權限
role1=user:create,user:update
#角色role2對資源user擁有create、delete權限
role2=user:create,user:delete
#角色role3對資源user擁有create權限
role3=user:create

-- ehcache.xml

<?xml version="1.0" encoding="UTF-8"?>
<ehcache xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:noNamespaceSchemaLocation="ehcache.xsd" updateCheck="false">
	<diskStore path="java.io.tmpdir" />
	<defaultCache maxElementsInMemory="10000" eternal="false"
		timeToIdleSeconds="120" timeToLiveSeconds="120" overflowToDisk="false"
		diskPersistent="false" diskExpiryThreadIntervalSeconds="120">
	</defaultCache>
</ehcache>

shiro框架核心配置：Spring的組態檔中配置的一個bean ,org.apache.shiro.spring.web.ShiroFilterFactoryBean

web.xml檔案中為什么還要配置一個DelegatingFilterProxy

DelegatingFilterProxy：用來到Spring容器中去找filter-name相同名字的bean實體

六、Shiro默認攔截器

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/271254.html

標籤：其他

上一篇：VC實作將網址決議出所有ip地址

下一篇：Java執行緒之synchronized關鍵字

Shiro

Shiro

一、Shiro簡介

二、功能簡介

三、Shiro的架構

四、JavaSE環境與Shiro整合

五、與Spring的集成

1、Spring、Spring MVC的搭建

六、Shiro默認攔截器