Shiro主要用来进行权限管理。简单的介绍如下:
一、概念
Shiro是一个安全框架,可以进行角色、权限管理。
Shiro主要功能如下:
Authentication(认证):用户身份识别,通常被称为用户“登录”
Authorization(授权):访问控制。比如某个用户是否具有某个操作的使用权限。
Session Management(会话管理):特定于用户的会话管理,甚至在非web 或 EJB 应用程序。
Cryptography(加密):在对数据源使用加密算法加密的同时,保证易于使用。
二、主要的类
1.Subject:当前用户,Subject可以是一个人,也可以是第三方服务
2.SecurityManager:管理所有Subject,可以配合内部安全组件。
3.principals:身份,即主体的标识属性,可以是任何东西,如用户名、邮箱等,唯一即可。一个主体可以有多个principals,但只有一个Primary principals,一般是用户名/密码/手机号。
4.credentials:证明/凭证,即只有主体知道的安全值,如密码/数字证书等。
最常见的principals和credentials组合就是用户名/密码了。
5.Realms:用于进行权限信息的验证,需要自己实现。
6.Realm 本质上是一个特定的安全 DAO:它封装与数据源连接的细节,得到Shiro 所需的相关的数据。
在配置 Shiro 的时候,你必须指定至少一个Realm 来实现认证(authentication)和/或授权(authorization)。
我们需要实现Realms的Authentication 和 Authorization。其中 Authentication 是用来验证用户身份,Authorization 是授权访问控制,用于对用户进行的操作授权,证明该用户是否允许进行当前操作,如访问某个链接,某个资源文件等。
7.SimpleHash,可以通过特定算法(比如md5)配合盐值salt,对密码进行多次加密。
三、Shiro配置
1.Spring集成Shiro一般通过xml配置,SpringBoot集成Shiro一般通过java代码配合@Configuration和@Bean配置。
2.Shiro的核心通过过滤器Filter实现。Shiro中的Filter是通过URL规则来进行过滤和权限校验,所以我们需要定义一系列关于URL的规则和访问权限。
3.SpringBoot集成Shiro,我们需要写的主要是两个类,ShiroConfiguration类,还有继承了AuthorizingRealm的Realm类
ShiroConfiguration类,用来配置Shiro,注入各种Bean。
包括过滤器(shiroFilter)、安全事务管理器(SecurityManager)、密码凭证(CredentialsMatcher)、aop注解支持(authorizationAttributeSourceAdvisor)等等
Realm类,包括登陆认证(doGetAuthenticationInfo)、授权认证(doGetAuthorizationInfo)
四:实战部分
此处演示2个用户进行登陆系统,有着不同的权限,实现用户只能操作自己权限下面的菜单,对其他菜单无法操作。此处的菜单演示使用2个写死的菜单。基于SpringBoot共使用3种实现方式进行演示,说明其中的优缺点,根据个人实际情况选择。
4.1、公共部分,引入依赖
<!–shiro –> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.3.2</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>1.3.2</version> </dependency> <!– shiro ehcache –> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-ehcache</artifactId> <exclusions> <exclusion> <groupId>net.sf.ehcache</groupId> <artifactId>ehcache-core</artifactId> </exclusion> </exclusions> <version>1.4.0</version> </dependency> <dependency> <groupId>com.github.theborakompanioni</groupId> <artifactId>thymeleaf-extras-shiro</artifactId> <version>2.0.0</version> </dependency> |
4.2、数据库部分,一切从简
4.3、下面开始有不同的部分,第一种方式用黄色标识,第二种用绿色,第三种用蓝色标识。
配置一个Realm来实现登陆认证和授权、
import com.example.demo.entity.User; import com.example.demo.mapper.RoleMapper; import com.example.demo.mapper.UserMapper; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.*; import org.apache.shiro.authz.AuthorizationInfo; import org.apache.shiro.authz.SimpleAuthorizationInfo; import org.apache.shiro.realm.AuthorizingRealm; import org.apache.shiro.subject.PrincipalCollection; import org.springframework.beans.factory.annotation.Autowired;import java.util.HashSet; import java.util.List; import java.util.Set; /** /** /** |
4.4 配置shrio配置类,这里也可以配置缓存相关信息。
import at.pollux.thymeleaf.shiro.dialect.ShiroDialect; import org.apache.shiro.mgt.SecurityManager; import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor; import org.apache.shiro.spring.web.ShiroFilterFactoryBean; import org.apache.shiro.web.mgt.DefaultWebSecurityManager; import org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.HandlerExceptionResolver;import java.util.LinkedHashMap; import java.util.Map; @Configuration //开放登陆/退出接口 shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap); /** /** /** /** @Bean /** |
4.5、LoginController中部分逻辑(登陆登出,403,error等页面)
@RequestMapping(“/”) public String login() { return “login”; }/** * 错误页面 * @return */ @RequestMapping(“/errorPage”) public String error() { return “/error”; } /** /** @RequestMapping(“/home”) /** /** |
4.6 登陆页面省略,此处贴的是登陆成功的页面home页面
//注意:第一种和第三种都是这个写法,下面注释的是第二种
<h1><a th:href=”@{/user/addUser}” >添加用户 -admin权限</a></h1> <!–<h1><a th:href=”@{/user/addUser}” shiro:hasPermission=”admin”>添加用户 -admin权限</a></h1>–> |
第一种配置:
主要是在shrio配置类中写死了路径和权限的关系,html中只是普通的写法,如果未授权会自动跳转到shrio配置类中的/403页面。 缺点是写的多,路径要规范。其他自行思考
shiroFilterFactoryBean.setUnauthorizedUrl("/403");
第二种配置:
区别是在shrio类中拦截所有路径,具体权限控制是在html中写的,比如:
<!–<h1><a th:href=”@{/user/addUser}” shiro:hasPermission=”admin”>添加用户 -admin权限</a></h1>–>
<!–<h1><a th:href=”@{/user/selectUser}” shiro:hasPermission=”guest”>用户列表--guest权限</a></h1>–>
这样的话如果没有权限根本不会显示这个菜单,只显示有权限的菜单。切需要在shrio配置类中配置在thymeleaf使用所需的插件。如下:
@Bean public ShiroDialect shiroDialect() { return new ShiroDialect(); }
第三种配置:
此配置在配置类也是拦截所有,而且页面中也是和第一种一样的普通写法,具体权限控制是在controller中控制,也有人说最好在service中配置,此处是在controller中配置。也就是常见的 几个注解,比如:
@RequiresRoles("guest")
基于SpringBoot需要在shrio配置类中加入以下配置:
/** * 开启shiro aop注解支持. 必需 * 使用代理方式;所以需要开启代码支持;否则@RequiresRoles等注解无法生效 * * @param securityManager * @return */ @Bean public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) { AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor(); authorizationAttributeSourceAdvisor.setSecurityManager(securityManager); return authorizationAttributeSourceAdvisor; } @Bean public DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator() { DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator(); advisorAutoProxyCreator.setProxyTargetClass(true); return advisorAutoProxyCreator; }
这样的话没有权限的菜单也会显示出来,可以点击,但是不会跳转到配置的未授权该跳转的页面。后台会报错没有权限,前台没有信息。处理办法是自定义一个异常处理器,捕获到未授权异常就手动跳转到未授权页面。配置如下:
在shrio中配置这个异常处理器
/** * 处理未授权的时候跳转问题 * * @return */ @Bean public HandlerExceptionResolver solver() { HandlerExceptionResolver handlerExceptionResolver = new MyExceptionResolver(); return handlerExceptionResolver; }
新定义一个异常处理器
public class MyExceptionResolver implements HandlerExceptionResolver{ public ModelAndView resolveException(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) { System.out.println("==============异常开始============="); //如果是shiro无权操作,因为shiro 在操作auno等一部分不进行转发至无权限url if(ex instanceof AuthorizationException){ // 在此处跳转到403未授权页面 ModelAndView mv = new ModelAndView("redirect:/403"); return mv; } return null; } 这样的话就可以实现拦截到未授权异常跳转到403了。
此文仅仅粘贴部分代码,全部代码下载地址是:shrio