SpringBoot中怎么利用Shiro实现登陆认证和权限管理

发布时间:2021-07-08 16:43:31 作者:Leah
来源:亿速云 阅读:371

本篇文章为大家展示了SpringBoot中怎么利用Shiro实现登陆认证和权限管理,内容简明扼要并且容易理解,绝对能使你眼前一亮,通过这篇文章的详细介绍希望你能有所收获。

Shiro是什么?

Apache Shiro是一个功能强大、灵活的,开源的安全框架。它可以干净利落地处理身份验证、授权、企业会话管理和加密。

Apache Shiro的首要目标是易于使用和理解。安全通常很复杂,甚至让人感到很痛苦,但是Shiro却不是这样子的。一个好的安全框架应该屏蔽复杂性,向外暴露简单、直观的API,来简化开发人员实现应用程序安全所花费的时间和精力。

Shiro能做什么呢?

等等——都集成到一个有凝聚力的易于使用的API。

Shiro 致力在所有应用环境下实现上述功能,小到命令行应用程序,大到企业应用中,而且不需要借助第三方框架、容器、应用服务器等。当然 Shiro 的目的是尽量的融入到这样的应用环境中去,但也可以在它们之外的任何环境下开箱即用。

Shiro有哪些组成?

Authentication(认证), Authorization(授权), Session Management(会话管理), Cryptography(加密)被 Shiro 框架的开发团队称之为应用安全的四大基石。那么就让我们来看看它们吧:

还有其他的功能来支持和加强这些不同应用环境下安全领域的关注点。特别是对以下的功能支持:

注意: Shiro不会去维护用户、维护权限,这些需要我们自己去设计/提供,然后通过相应的接口注入给Shiro

代码上手:

User(用户)实体类创建,本例使用了Lombok插件,通过@Data注解减少了对GET/SET方法的生成。

@Data
@Entity
@Table(name = "user")
public class User {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private long id;
    private String username;
    private String password;
    private String salt;
    @Column(name = "is_deleted",length = 2)
    private int isDeleted;              //删除标记 0未删除 1已删除
    @Column(name = "gmt_create",updatable = false)
    private LocalDateTime createAt;
    @Column(name = "gmt_modified")
    private LocalDateTime updateAt;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(name = "user_to_role", joinColumns = { @JoinColumn(name = "user_id") }, inverseJoinColumns = {
            @JoinColumn(name = "role_id") })
    private List<SysRole> roles;

    public String getCredentialsSalt() {
        return username + salt + salt;
    }
}

用户对应角色的对应关系声明为多对多关联,其中关联表实体可以在源代码中查看,此处忽略。

Role(角色)实体类创建:

@Data
@Entity
@Table(name = "role")
public class SysRole {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private long id;
    private String role;
    private String roleName;
    @Column(name = "is_deleted",length = 2)
    private int isDeleted;              //删除标记 0未删除 1已删除
    @CreatedDate
    @Column(name = "gmt_create")
    private LocalDateTime createAt;
    @LastModifiedDate
    @Column(name = "gmt_modified")
    private LocalDateTime updateAt;

    @ManyToMany(fetch = FetchType.EAGER)
    @JoinTable(name = "role_to_permission", joinColumns = { @JoinColumn(name = "role_id") }, inverseJoinColumns = {
            @JoinColumn(name = "perm_id") })
    private List<SysPermission> permissions;
}

Permission(权限)实体类创建:

@Data
@Entity
@Table(name = "permission")
public class SysPermission {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Integer id;
    private String code;
    private String name;

    @Column(name = "is_deleted",length = 2)
    private int isDeleted;              //删除标记 0未删除 1已删除
    @CreatedDate
    @Column(name = "gmt_create")
    private LocalDateTime createAt;
    @LastModifiedDate
    @Column(name = "gmt_modified")
    private LocalDateTime updateAt;
}

本例使用JPA作为数据库持久层框架,因此我们将建表的任务交给框架自动完成,我们只需要在entity中写清楚对应关系即可。源码所给的struts.sql文件也详细说明了DDL语句。

Shiro的重点在于对应的config文件的配置以及对于Realm的实现。

ShiroConfig的实现方式,在Shiro中,shirFilter会对配置的路径进行过滤,过滤的级别如下:

/**
 * shiro的内置过滤器
 * anon:无需认证就可以访问 默认
 * authc:必须认证了才能访问
 * user:必须拥有记住我功能才能访问
 * perms:必须拥有对某个的权限才能访问
 * role:拥有某个角色权限才能访问
 * ilter工厂,设置对应的过滤条件和跳转条件
 */
@Configuration
public class ShiroConfig {

    @Bean
    public ShiroFilterFactoryBean shirFilter(DefaultWebSecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);

        Map<String, String> filterChainDefinitionMap = new HashMap<>();
        shiroFilterFactoryBean.setLoginUrl("/login");
        shiroFilterFactoryBean.setUnauthorizedUrl("/unauthorized");
        shiroFilterFactoryBean.setSuccessUrl("/home/index");

        filterChainDefinitionMap.put("/*", "anon");
        filterChainDefinitionMap.put("/authorized/index", "authc");
        filterChainDefinitionMap.put("/authorized/admin", "roles[admin]");
        filterChainDefinitionMap.put("/authorized/add", "perms[Create,Update]");
        filterChainDefinitionMap.put("/authorized/delete", "perms[Delete]");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }

    @Bean
    public HashedCredentialsMatcher hashedCredentialsMatcher() {
        HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher();
        hashedCredentialsMatcher.setHashAlgorithmName(PasswordHelper.ALGORITHM_NAME); // 散列算法
        hashedCredentialsMatcher.setHashIterations(PasswordHelper.HASH_ITERATIONS); // 散列次数
        return hashedCredentialsMatcher;
    }

    //注入自己的realm
    @Bean
    public CustomizedRealm shiroRealm() {
        CustomizedRealm shiroRealm = new CustomizedRealm();
        shiroRealm.setCredentialsMatcher(hashedCredentialsMatcher()); //设置加密的方式
        return shiroRealm;
    }

    @Bean
        public DefaultWebSecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(shiroRealm());
        return securityManager;
    }

    @Bean
    public PasswordHelper passwordHelper() {
        return new PasswordHelper();
    }

    //加入注解的使用,不加入这个注解不生效
    @Bean
    public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(DefaultWebSecurityManager securityManager) {
        AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();
        authorizationAttributeSourceAdvisor.setSecurityManager(securityManager);
        return authorizationAttributeSourceAdvisor;
    }
}

自定义Realm的实现:

public class CustomizedRealm extends AuthorizingRealm{

    @Autowired
    private UserService userService;

    /**
     * 授权
     * 只有当需要检测用户权限的时候才会调用此方法,例如checkRole,checkPermission之类的
     * @param principals
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        String username = (String) principals.getPrimaryPrincipal();

        User user = userService.findUserByName(username);
        if(user == null) return null;
        for (SysRole role : user.getRoles()) {
            authorizationInfo.addRole(role.getRole());
            for (SysPermission permission : role.getPermissions()) {
                authorizationInfo.addStringPermission(permission.getName());
            }
        }
        return authorizationInfo;
    }

    /**
     * 认证
     * 默认使用此方法进行用户名正确与否验证,错误抛出异常即可。
     * @param token
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String username = (String) token.getPrincipal();
        User user = userService.findUserByName(username);
        if(user == null) throw new AuthenticationException(ErrorCode.USER_NOT_FOUND.getMsg());
        SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(),
                ByteSource.Util.bytes(user.getCredentialsSalt()), getName());
        return authenticationInfo;
    }
}

简单的控制层逻辑:

@RestController
@RequestMapping
@Slf4j
public class UserController {

    @Autowired
    private UserService userService;
    @Autowired
    private PasswordHelper passwordHelper;



    @GetMapping("doLogin")
    public String login(@RequestParam String username, @RequestParam String password) {
        UsernamePasswordToken token = new UsernamePasswordToken(username, password);
        Subject subject = SecurityUtils.getSubject();
        try {
            subject.login(token);
        } catch (IncorrectCredentialsException ice) {
            throw new AuthorizationException(ErrorCode.USER_PASSWORD_ERROR.getMsg());
        } catch (UnknownAccountException uae) {
            throw new AuthorizationException(ErrorCode.IDENTIFICATION_ERROR.getMsg());
        }
        //登陆成功,将用户信息放入session中
        User user = userService.findUserByName(username);
        subject.getSession().setAttribute("currentUser", user);
        return "LOGIN SUCCEED";
    }

    @GetMapping("register")
    public String register(@RequestParam String username, @RequestParam String password) {
        User user = new User();
        user.setUsername(username);
        user.setPassword(password);
        passwordHelper.encryptPassword(user);
        userService.saveUser(user);
        return "SUCCESS";
    }

    @GetMapping("test")
    @RequiresRoles(value = {"USER"})    //需要USER角色才能访问
    @RequiresPermissions(value = {"QUERY","ADD"},logical = Logical.OR)  //多个权限的写法
    public String test(@CurrentUser User user) {
        //@CurrentUser 自定义注解实现,可以参考CurrentUser.java,其实现过程在CurrentUserMethodArgumentResolver类中
        log.info("{}",user.getRoles());
        return user.getUsername();
    }
}

上面的例子中,使用@RequiresRoles的注解,需要在ShiroConfig配置AuthorizationAttributeSourceAdvisor,否则注解无法生效。

没有演示是演不砸的:

1.我们创建了有个用户,张三,其拥有User的权限,先通过登录;(没有用户的可以调用register方法先创建用户,再配置对应的权限关联关系)

SpringBoot中怎么利用Shiro实现登陆认证和权限管理

2.此处编写了有个test方法,一开始我们设置需要user权限可以访问成功,如下:

    @GetMapping("test")
    @RequiresRoles(value = {"USER"})    //需要USER角色才能访问
    @RequiresPermissions(value = {"QUERY","ADD"},logical = Logical.OR)  //多个权限的写法
    public String test(@CurrentUser User user) {
        //@CurrentUser 自定义注解实现,可以参考CurrentUser.java,其实现过程在CurrentUserMethodArgumentResolver类中
        log.info("{}",user.getRoles());
        return user.getUsername();
    }
    //@RequiresRoles(value = {"USER"}) zhangsan有用user权限,登陆成功

SpringBoot中怎么利用Shiro实现登陆认证和权限管理

权限没有问题。

3.修改此处登录的权限访问为,ADMIN级别

    @GetMapping("test")
    @RequiresRoles(value = {"ADMIN"})    //需要ADMIN角色才能访问
    @RequiresPermissions(value = {"QUERY","ADD"},logical = Logical.OR)  //多个权限的写法
    public String test(@CurrentUser User user) {
        log.info("{}",user.getRoles());
        return user.getUsername();
    }
    //@RequiresRoles(value = {"ADMIN"}) zhangsan未拥有ADMIN权限,被拦截

SpringBoot中怎么利用Shiro实现登陆认证和权限管理

上述内容就是SpringBoot中怎么利用Shiro实现登陆认证和权限管理,你们学到知识或技能了吗?如果还想学到更多技能或者丰富自己的知识储备,欢迎关注亿速云行业资讯频道。

推荐阅读:
  1. SpringBoot-Shiro-Vue 前后端分离实现权限认证
  2. 关于Springboot shiro认证授权的详解

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

shiro spring boot

上一篇:SpringBoot 中怎么整合RabbitMQ

下一篇:Springboot 中怎么整合logback日志管理

相关阅读

您好,登录后才能下订单哦!

密码登录
登录注册
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》