SpringBoot使用(4)--集成shiro

梦里梦外; 2022-05-16 02:22 299阅读 0赞

现在使用shiro的比较多,首先引入maven依赖

![70][]

这里shiro.version配置的是1.4.0

然后编写配置类,并在类加上@Configuration注解

package com.zbl.springboot.config;
    
    import com.zbl.realm.MyShiroRealm;
    import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
    import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.apache.shiro.mgt.SecurityManager;
    import java.util.LinkedHashMap;
    import java.util.Map;
    
    /**
     * @Author zhaobaolong
     * @Date 2018/8/13 0013
     */
    @Configuration
    public class ShiroConfiguration  {
        /**
         * ShiroFilterFactoryBean 处理拦截资源文件问题。
         * 注意：单独一个ShiroFilterFactoryBean配置是或报错的，因为在初始化ShiroFilterFactoryBean的时候需要注入：SecurityManager
         * Filter Chain定义说明 1、一个URL可以配置多个Filter，使用逗号分隔 2、当设置多个过滤器时，全部验证通过，才视为通过
         * 3、部分过滤器可指定参数，如perms，roles
         */
        @Bean
        public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager) {
            ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
            // 必须设置 SecurityManager
            shiroFilterFactoryBean.setSecurityManager(securityManager);
    
            // 如果不设置默认会自动寻找Web工程根目录下的"/login.jsp"页面
            //访问的是后端url地址为 /login的接口
            shiroFilterFactoryBean.setLoginUrl("/login");
            // 登录成功后要跳转的链接
            shiroFilterFactoryBean.setSuccessUrl("/index");
            // 未授权界面;
            shiroFilterFactoryBean.setUnauthorizedUrl("/403");
            // 拦截器.
            Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
            // 配置不会被拦截的链接 顺序判断
            filterChainDefinitionMap.put("/js/**", "anon");
            filterChainDefinitionMap.put("/ajaxLogin", "anon");
            filterChainDefinitionMap.put("/userlogin", "anon");
    
            // 配置退出过滤器,其中的具体的退出代码Shiro已经替我们实现了
    
            filterChainDefinitionMap.put("/logout", "logout");
    
            //配置某个url需要某个权限码
    
            filterChainDefinitionMap.put("/hello", "perms[how_are_you]");
    
            // 过滤链定义，从上向下顺序执行，一般将 /**放在最为下边
            // 
            filterChainDefinitionMap.put("/", "user");
            filterChainDefinitionMap.put("/**", "authc");
            shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
            System.out.println("Shiro拦截器工厂类注入成功");
            return shiroFilterFactoryBean;
        }
    
        @Bean
        public SecurityManager securityManager() {
            DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
            // 设置realm.
            securityManager.setRealm(myShiroRealm());
            return securityManager;
        }
        /**
         * 身份认证realm; (这个需要自己写，账号密码校验；权限等)
         * @return
         */
        @Bean
        public MyShiroRealm myShiroRealm() {
            MyShiroRealm myShiroRealm = new MyShiroRealm();
            return myShiroRealm;
        }
    
    }

然后编写Realm

package com.zbl.realm;
    
    import com.zbl.entity.User;
    import org.apache.shiro.SecurityUtils;
    import org.apache.shiro.authc.*;
    import org.apache.shiro.authz.AuthorizationInfo;
    import org.apache.shiro.authz.SimpleAuthorizationInfo;
    import org.apache.shiro.crypto.hash.Md5Hash;
    import org.apache.shiro.realm.AuthorizingRealm;
    import org.apache.shiro.subject.PrincipalCollection;
    import org.apache.shiro.util.ByteSource;
    
    import java.security.MessageDigest;
    import java.security.NoSuchAlgorithmException;
    import java.util.HashMap;
    import java.util.HashSet;
    import java.util.Map;
    import java.util.Set;
    
    /**
     * @Author zhaobaolong
     * @Date 2018/8/13 0013
     */
    public class MyShiroRealm extends AuthorizingRealm {
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
            //获取用户
            User user = (User) SecurityUtils.getSubject().getPrincipal();
            SimpleAuthorizationInfo info =  new SimpleAuthorizationInfo();
            //获取用户角色
            Set<String> roleSet = new HashSet<String>();
            roleSet.add("100002");
            info.setRoles(roleSet);
    
            //获取用户权限
            Set<String> permissionSet = new HashSet<String>();
            permissionSet.add("权限添加");
            permissionSet.add("权限删除");
            info.setStringPermissions(permissionSet);
    
    
            return info;
        }
    
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
    
            UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
            String username = token.getUsername();
            String password = String.valueOf(token.getPassword());
    
            Map<String, Object> map = new HashMap<String, Object>();
            map.put("nickname", username);
            //密码进行加密处理  明文为  password+name
            String paw = password+username;
            Md5Hash md5Hash = new Md5Hash();
    
    
    
            return new SimpleAuthenticationInfo(username, password, getName());
        }
    }

,最后在springboot的启动类中扫描到

ShiroConfiguration即可.

在Realm中

第一个参数时验证时的标识符,最好使用username,如果使用对象可能会报错,第二个参数是数据库密码,前台密码传到后台shiro会自动进行md5加密,然后和这个password进行对比,第三个就是该realm的名字,如果使用4个参数的的构造器

![70 1][]

第三个参数为盐值,为你后台数据库保存的盐值,用来提供给shiro进行密码加密后再和数据库中的密码进行对比

值得注意的是,在配置文件中,所用到的manager(sessionManager,securityManager等)都要使用Web的:

DefaultWebSessionManager,这里是个坑!

[70]: /images/20220516/f306cecfc344435abf67820bd5743d2c.png
[70 1]: /images/20220516/16be34b351f046339e60b17752f18187.png