Java Shiro安全框架如何使用

目录

1. 简介
2. Shiro的核心概念
   • Subject
   • SecurityManager
   • Realm
3. Shiro的配置
   • INI配置
   • Java配置
4. Shiro的认证
   • 认证流程
   • 认证实现
5. Shiro的授权
   • 授权流程
   • 授权实现
6. Shiro的会话管理
   • 会话管理流程
   • 会话管理实现
7. Shiro的缓存管理
   • 缓存管理流程
   • 缓存管理实现
8. Shiro的加密
   • 加密流程
   • 加密实现
9. Shiro的集成
   • 与Spring集成
   • 与Spring Boot集成
10. 总结

简介

Apache Shiro 是一个强大且易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。Shiro的设计目标是简化应用程序的安全管理，使开发人员能够轻松地实现安全控制。

Shiro的核心概念

Subject

Subject 是Shiro的核心概念之一，代表当前与应用程序交互的用户或系统。Subject可以是任何实体，如用户、服务或设备。通过Subject，应用程序可以执行认证、授权等操作。

SecurityManager

SecurityManager 是Shiro的核心组件，负责管理所有Subject的安全操作。它是Shiro的入口点，负责协调认证、授权、会话管理等操作。

Realm

Realm 是Shiro与应用程序安全数据（如用户、角色、权限）之间的桥梁。Realm负责从数据源（如数据库、LDAP）中获取安全数据，并将其提供给Shiro进行认证和授权。

Shiro的配置

INI配置

Shiro支持通过INI文件进行配置。INI文件通常包含[main]、[users]、[roles]和[urls]等部分。

[main]
# 配置SecurityManager
securityManager = org.apache.shiro.mgt.DefaultSecurityManager

# 配置Realm
myRealm = com.example.MyRealm
securityManager.realms = $myRealm

[users]
# 配置用户
admin = password, admin
user = password, user

[roles]
# 配置角色
admin = *
user = user:read

[urls]
# 配置URL权限
/login = anon
/admin/** = authc, roles[admin]
/user/** = authc, roles[user]

Java配置

Shiro也支持通过Java代码进行配置。可以通过DefaultSecurityManager和IniRealm等类来实现。

import org.apache.shiro.mgt.DefaultSecurityManager;
import org.apache.shiro.realm.text.IniRealm;
import org.apache.shiro.SecurityUtils;

public class ShiroConfig {
    public static void main(String[] args) {
        // 创建SecurityManager
        DefaultSecurityManager securityManager = new DefaultSecurityManager();

        // 创建Realm
        IniRealm realm = new IniRealm("classpath:shiro.ini");

        // 设置Realm
        securityManager.setRealm(realm);

        // 设置SecurityManager
        SecurityUtils.setSecurityManager(securityManager);
    }
}

Shiro的认证

认证流程

Shiro的认证流程主要包括以下几个步骤： 1. 用户提交认证信息（如用户名和密码）。 2. Shiro通过Subject进行认证。 3. Shiro调用Realm获取用户信息。 4. Shiro验证用户信息，并返回认证结果。

认证实现

以下是一个简单的认证实现示例：

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.subject.Subject;

public class AuthenticationExample {
    public static void main(String[] args) {
        // 获取当前用户
        Subject currentUser = SecurityUtils.getSubject();

        // 创建认证令牌
        UsernamePasswordToken token = new UsernamePasswordToken("admin", "password");

        try {
            // 执行认证
            currentUser.login(token);
            System.out.println("认证成功");
        } catch (Exception e) {
            System.out.println("认证失败");
        }
    }
}

Shiro的授权

授权流程

Shiro的授权流程主要包括以下几个步骤： 1. 用户请求访问某个资源。 2. Shiro通过Subject进行授权检查。 3. Shiro调用Realm获取用户的角色和权限。 4. Shiro验证用户是否具有访问该资源的权限，并返回授权结果。

授权实现

以下是一个简单的授权实现示例：

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.subject.Subject;

public class AuthorizationExample {
    public static void main(String[] args) {
        // 获取当前用户
        Subject currentUser = SecurityUtils.getSubject();

        // 检查用户是否具有某个角色
        if (currentUser.hasRole("admin")) {
            System.out.println("用户具有admin角色");
        } else {
            System.out.println("用户不具有admin角色");
        }

        // 检查用户是否具有某个权限
        if (currentUser.isPermitted("user:read")) {
            System.out.println("用户具有user:read权限");
        } else {
            System.out.println("用户不具有user:read权限");
        }
    }
}

Shiro的会话管理

会话管理流程

Shiro的会话管理流程主要包括以下几个步骤： 1. 用户登录后，Shiro创建一个会话。 2. Shiro将会话信息存储在会话管理器中。 3. 用户请求访问资源时，Shiro从会话管理器中获取会话信息。 4. Shiro验证会话是否有效，并返回会话管理结果。

会话管理实现

以下是一个简单的会话管理实现示例：

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.session.Session;
import org.apache.shiro.subject.Subject;

public class SessionManagementExample {
    public static void main(String[] args) {
        // 获取当前用户
        Subject currentUser = SecurityUtils.getSubject();

        // 获取会话
        Session session = currentUser.getSession();

        // 设置会话属性
        session.setAttribute("key", "value");

        // 获取会话属性
        String value = (String) session.getAttribute("key");
        System.out.println("会话属性值: " + value);
    }
}

Shiro的缓存管理

缓存管理流程

Shiro的缓存管理流程主要包括以下几个步骤： 1. Shiro从Realm中获取安全数据。 2. Shiro将安全数据存储在缓存中。 3. 用户请求访问资源时，Shiro从缓存中获取安全数据。 4. Shiro验证缓存数据是否有效，并返回缓存管理结果。

缓存管理实现

以下是一个简单的缓存管理实现示例：

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.cache.Cache;
import org.apache.shiro.cache.CacheManager;
import org.apache.shiro.subject.Subject;

public class CacheManagementExample {
    public static void main(String[] args) {
        // 获取当前用户
        Subject currentUser = SecurityUtils.getSubject();

        // 获取缓存管理器
        CacheManager cacheManager = currentUser.getSecurityManager().getCacheManager();

        // 获取缓存
        Cache<String, String> cache = cacheManager.getCache("myCache");

        // 设置缓存值
        cache.put("key", "value");

        // 获取缓存值
        String value = cache.get("key");
        System.out.println("缓存值: " + value);
    }
}

Shiro的加密

加密流程

Shiro的加密流程主要包括以下几个步骤： 1. 用户提交敏感信息（如密码）。 2. Shiro使用加密算法对敏感信息进行加密。 3. Shiro将加密后的信息存储在数据源中。 4. 用户请求访问资源时，Shiro对提交的敏感信息进行加密，并与存储的加密信息进行比较。

加密实现

以下是一个简单的加密实现示例：

import org.apache.shiro.crypto.hash.Sha256Hash;
import org.apache.shiro.crypto.hash.SimpleHash;

public class EncryptionExample {
    public static void main(String[] args) {
        // 原始密码
        String password = "password";

        // 使用SHA-256算法进行加密
        String hashedPassword = new Sha256Hash(password).toHex();

        System.out.println("加密后的密码: " + hashedPassword);

        // 使用SimpleHash进行加密
        SimpleHash hash = new SimpleHash("SHA-256", password);
        System.out.println("加密后的密码: " + hash.toHex());
    }
}

Shiro的集成

与Spring集成

Shiro可以与Spring框架无缝集成。以下是一个简单的Spring集成示例：

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
    <property name="realm" ref="myRealm"/>
</bean>

<bean id="myRealm" class="com.example.MyRealm"/>

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
    <property name="securityManager" ref="securityManager"/>
    <property name="filterChainDefinitions">
        <value>
            /login = anon
            /admin/** = authc, roles[admin]
            /user/** = authc, roles[user]
        </value>
    </property>
</bean>

与Spring Boot集成

Shiro也可以与Spring Boot框架集成。以下是一个简单的Spring Boot集成示例：

import org.apache.shiro.spring.web.config.DefaultShiroFilterChainDefinition;
import org.apache.shiro.spring.web.config.ShiroFilterChainDefinition;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class ShiroConfig {

    @Bean
    public DefaultWebSecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(myRealm());
        return securityManager;
    }

    @Bean
    public MyRealm myRealm() {
        return new MyRealm();
    }

    @Bean
    public ShiroFilterChainDefinition shiroFilterChainDefinition() {
        DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();
        chainDefinition.addPathDefinition("/login", "anon");
        chainDefinition.addPathDefinition("/admin/**", "authc, roles[admin]");
        chainDefinition.addPathDefinition("/user/**", "authc, roles[user]");
        return chainDefinition;
    }
}

总结

Apache Shiro 是一个功能强大且易于使用的Java安全框架，提供了认证、授权、加密和会话管理等功能。通过本文的介绍，您应该已经了解了Shiro的核心概念、配置方法以及如何在实际项目中使用Shiro进行安全控制。希望本文能帮助您更好地理解和使用Shiro框架。