Shiro 安全框架详解一（概念+登录案例实现）

刺骨的言语ヽ痛彻心扉 2022-10-07 06:54 216阅读 0赞

### shiro 安全框架详细教程 ###

*  总结内容
 *   *  一、RBAC 的概念
     *  二、两种常用的权限管理框架
     *   *  1. Apache Shiro
         *  2. Spring Security
         *  3. Shiro 和 Spring Security 比较
     *  三、Shiro 的概述
     *   *  1. shiro 作用
         *  2. shiro 架构
     *  四、基于 ini 的认证案例实现
     *   *  1. 实现原理图
         *  2. 实现代码
         *   *  2.1 添加 maven jar包依赖
             *  2.2 编写 ini 配置文件:shiro-authc.ini
             *  2.3 使用 Shiro 相关的 API 完成身份认证
     *  五、项目中集成 Shiro 认证案例实现
     *   *  1. 项目准备
         *   *  1.1 添加依赖
             *  1.2 配置代理过滤器
         *  2. 代码实现
         *   *  2.1 登录的 LoginController 控制器
             *  2.2 配置自定义Realm：CarBusinessRealm
             *  2.3 创建 shiro.xml
             *  2.4 在SpringMVC 中引入 shiro.xml
             *  2.5 安全管理器
         *  3. 注销功能
 *  总结

# 总结内容 #

## 一、RBAC 的概念 ##

RBAC 全称 Role Based Access Control，意思是基于角色的访问控制，说白了就是每个用户拥有不同的角色，每个角色又拥有不同的权限，用户通过所拥有的的权限对系统进行操作。  
RBAC 是一种目前使用最普片的权限管理模型，该模型中有3个基础的组成部分，分别是：用户、角色、权限。我们接下来也是围绕这3个组成部分来进行的。

## 二、两种常用的权限管理框架 ##

### 1. Apache Shiro ###

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,我们可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

### 2. Spring Security ###

Spring Security是为基于Spring的应用程序提供声明式安全保护的安全性框架，它提供了完整的安全性解决方案，能够在web请求级别和方法调用级别处理身份证验证和授权。因为基于Spring框架，所以Spring Security充分利用了依赖注入和面向切面的技术。

### 3. Shiro 和 Spring Security 比较 ###

Shiro 比 Spring Security更容易上手使用和理解，Shiro 可以不跟任何的框架或者容器绑定，可独立运行，而Spring Security 则必须要有Spring环境， Shiro 可能没有 Spring Security 做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的 Shiro 就足够了。对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了。

## 三、Shiro 的概述 ##

### 1. shiro 作用 ###

1）**认证**  
2）**授权**  
3）**加密**  
4）会话管理  
5）与 Web 集成  
6）缓存  
7）…

### 2. shiro 架构 ###

Shiro 主要组件包括：Subject，SecurityManager，Authenticator，Authorizer，SessionManager，CacheManager，Cryptography，Realms。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6dmFy_size_16_color_FFFFFF_t_70]

1.  **Subject（用户）**  
    Subject即主体，外部应用与subject进行交互，subject记录了当前的操作用户，将用户的概念理解为当前操作的主体。Subject 可以是一个人，但也可以是第三方服务、守护进程帐户、时钟守护任务或者其它–当前和软件交互的任何事件。  
    **在程序任意位置可使用**：Subject currentUser = SecurityUtils.getSubject() 获取到subject主体对象，类似 Employee user = UserContext.getUser() ；
2.  **SecurityManager（安全管理器）**  
    它是 shiro 功能实现的核心，负责与后边介绍的其他组件(认证器/授权器/缓存控制器)进行交互，实现 subject 委托的各种功能。有点类似于SpringMVC 中的 DispatcherServlet 前端控制器，负责进行分发调度。
3.  **Realms（数据源）**  
    Realm 充当了 Shiro 与应用安全数据间的“桥梁”或者“连接器”。；可以把Realm 看成 DataSource，即安全数据源。执行认证（登录）和授权（访问控制）时，Shiro 会从应用配置的 Realm 中查找相关的比对数据。以确认用户是否合法，操作是否合理。
4.  Authenticator（认证器）  
     用于认证，从 Realm 数据源取得数据之后进行执行认证流程处理。
5.  Authorizer（授权器）  
    用户访问控制授权，决定用户是否拥有执行指定操作的权限。
6.  SessionManager （会话管理器）  
    Shiro 与生俱来就支持会话管理，这在安全类框架中都是独一无二的功能。即便不存在 web 容器环境，shiro 都可以使用自己的会话管理机制，提供相同的会话 API。
7.  CacheManager （缓存管理器）  
    用于缓存认证授权信息等。
8.  Cryptography（加密组件）  
    Shiro 提供了一个用于加密解密的工具包。

## 四、基于 ini 的认证案例实现 ##

### 1. 实现原理图 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6dmFy_size_16_color_FFFFFF_t_70 1]

### 2. 实现代码 ###

#### 2.1 添加 maven jar包依赖 ####

<dependency>
        <groupId>commons-logging</groupId>
        <artifactId>commons-logging</artifactId>
        <version>1.1.3</version>
    </dependency>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.5.2</version>
    </dependency>
    
    <dependency>
        <groupId>junit</groupId>
        <artifactId>junit</artifactId>
        <version>4.13.2</version>
    </dependency>
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <version>1.16.22</version>
        <scope>provided</scope>
    </dependency>

#### 2.2 编写 ini 配置文件:shiro-authc.ini ####

shiro默认支持的是ini配置的方式，这里只是为了方便，项目中还是会选择xml

#用户的身份、凭据
    [users]
    admin=123
    xfy=123

#### 2.3 使用 Shiro 相关的 API 完成身份认证 ####

@Test
    public void testLogin(){ 
        //创建Shiro的安全管理器，是shiro的核心
        DefaultSecurityManager securityManager = new DefaultSecurityManager();
        //加载shiro.ini配置，得到配置中的用户信息（账号+密码）
        IniRealm iniRealm = new IniRealm("classpath:shiro-authc.ini");
        securityManager.setRealm(iniRealm);
        //把安全管理器注入到当前的环境中
        SecurityUtils.setSecurityManager(securityManager);
        //无论有无登录都可以获取到subject主体对象，但是判断登录状态需要利用里面的属性来判断
        Subject subject = SecurityUtils.getSubject();
        System.out.println("认证状态："+subject.isAuthenticated());
        //创建令牌(携带登录用户的账号和密码)
        UsernamePasswordToken token = new UsernamePasswordToken("dafei","666");
        //执行登录操作(将用户的和 ini 配置中的账号密码做匹配)
        subject.login(token);
        System.out.println("认证状态："+subject.isAuthenticated());
        //登出
        //subject.logout();
        //System.out.println("认证状态："+subject.isAuthenticated());
    }

如果输入的身份和凭证和 ini 文件中配置的能够匹配，那么登录成功，登录状态为true，反之登录状态为false。

*  登录失败一般存在两种情况  
    【1】账号错误 org.apache.shiro.authc.UnknownAccountException  
    【2】密码错误 org.apache.shiro.authc.IncorrectCredentialsException

## 五、项目中集成 Shiro 认证案例实现 ##

### 1. 项目准备 ###

#### 1.1 添加依赖 ####

<dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>${shiro.version}</version>
    </dependency>
    
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-web</artifactId>
        <version>${shiro.version}</version>
    </dependency>
    
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-spring</artifactId>
        <version>${shiro.version}</version>
    </dependency>
    
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-ehcache</artifactId>
        <version>${shiro.version}</version>
    </dependency>
    
    <dependency>
        <groupId>commons-logging</groupId>
        <artifactId>commons-logging</artifactId>
        <version>1.2</version>
    </dependency>
    
    <dependency>
        <groupId>net.mingsoft</groupId>
        <artifactId>shiro-freemarker-tags</artifactId>
        <version>1.0.1</version>
    </dependency>

#### 1.2 配置代理过滤器 ####

在访问的时候，需要做一系列的预处理操作，Shiro是选择使用filter过滤器来进行拦截的，因为Shiro不依赖Spring容器，所以当没有springmvc时意味着不能用拦截器，但过滤器则不同，只要是web项目都可以使用。

*  **web.xml 文件**

<filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>
            org.springframework.web.filter.DelegatingFilterProxy
        </filter-class>
    </filter>
    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

这里使用了一个代理过滤器DelegatingFilterProxy，因为真正的shiroFilter需要注入很多复杂的对象，而web.xml中只能配置字符串或数字的参数，是不能满足的，因此我们会把shiroFilter交给 Spring 进行管理，通过spring的xml文件来配置。 使用DelegatingFilterProxy代理过滤器后，但浏览器发送请求过来，被代理过滤器拦截到后，代理过滤器会自动从 spring 容器中找**filter-name**所配置相同名称的bean，来实现真正的业务。

### 2. 代码实现 ###

#### 2.1 登录的 LoginController 控制器 ####

@RequestMapping("/userLogin")
    @ResponseBody
    public JsonResult login(String username, String password) { 
        try { 
            UsernamePasswordToken token = new UsernamePasswordToken(username, password); 			SecurityUtils.getSubject().login(token);
            // JsonResult 是一个自定义的工具类，里面就 2 个参数，boolean 类型的 success，String 类型的 message
            return new JsonResult();
        } catch (UnknownAccountException e) { 
            return new JsonResult(false, "账号不存在");
        } catch (IncorrectCredentialsException e) { 
            return new JsonResult(false, "密码错误");
        } catch (Exception e) {  
            e.printStackTrace();
            return new JsonResult(false, "登录异常，请联系管理员");
        }
    }

#### 2.2 配置自定义Realm：CarBusinessRealm ####

/** * 自定义Realm查询mysql */
    public class CarBusinessRealm extends AuthorizingRealm { 
        @Autowired
        private IEmployeeService employeeService;
        //提供认证信息
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException { 
            //通过token获取用户名（用户登录的时候填的）
            String username = (String)token.getPrincipal();
            //判断是否存在数据库（根据名字查询员工）
            Employee employee = employeeService.selectByUsername(username);
            if(employee!=null){ 
                //身份对象，真正的密码，当前realm的名字
                return new SimpleAuthenticationInfo(employee, employee.getPassword(), this.getName());
            }
            //返回值就是查询出来的数据，如果查到这个账号，就应该返回该账号正确的数据，如果查不到，就返回null
            return null;
        }
        //提供授权信息
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) { 
            return null;
        }
    }

#### 2.3 创建 shiro.xml ####

<?xml version="1.0" encoding="UTF-8"?>
    <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:aop="http://www.springframework.org/schema/aop" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/aop http://www.springframework.org/schema/aop/spring-aop.xsd">
    
        
        
    
        
        
    
        
        <bean id="carBusinessRealm" class="cn.wolfcode.realm.CarBusinessRealm"/>
    
        
        <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            
            <property name="realm" ref="carBusinessRealm"/>
        </bean>
    
    
        <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            
            <property name="securityManager" ref="securityManager"/>
            
            <property name="loginUrl" value="/login.html"/>
            
            <property name="filterChainDefinitions">
                <value>
                    /userLogin=anon
                    /css/**=anon
                    /js/**=anon
                    /img/**=anon
                    /upload/**=anon
                    /static/**=anon
                    /userLogout=logout
                    /**=authc
                </value>
            </property>
        </bean>
    </beans>

#### 2.4 在SpringMVC 中引入 shiro.xml ####

#### 2.5 安全管理器 ####

在 JavaEE 环境中，我们需要使用的安全管理器是：DefaultWebSecurityManager

有了上面的配置，当我们的访问到达具体资源之前，会先进过指定的过滤器做预处理，在允许通过之后才能继续访问。

*  **Shiro 中定义了多个过滤器来完成不同的预处理操作**：

<table> 
 <thead> 
  <tr> 
   <th>过滤器的名称</th> 
   <th><em><strong>Java</strong></em> 类</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>anon</td> 
   <td>org.apache.shiro.web. lter.authc.AnonymousFilter</td> 
  </tr> 
  <tr> 
   <td>authc</td> 
   <td>org.apache.shiro.web. lter.authc.FormAuthenticationFilter</td> 
  </tr> 
  <tr> 
   <td>authcBasic</td> 
   <td>org.apache.shiro.web. lter.authc.BasicHttpAuthenticationFilter</td> 
  </tr> 
  <tr> 
   <td>roles</td> 
   <td>org.apache.shiro.web. lter.authz.RolesAuthorizationFilter</td> 
  </tr> 
  <tr> 
   <td>perms</td> 
   <td>org.apache.shiro.web. lter.authz.PermissionsAuthorizationFilter</td> 
  </tr> 
  <tr> 
   <td>user</td> 
   <td>org.apache.shiro.web. lter.authc.UserFilter</td> 
  </tr> 
  <tr> 
   <td>logout</td> 
   <td>org.apache.shiro.web. lter.authc.LogoutFilter</td> 
  </tr> 
  <tr> 
   <td>port</td> 
   <td>org.apache.shiro.web. lter.authz.PortFilter</td> 
  </tr> 
  <tr> 
   <td>rest</td> 
   <td>org.apache.shiro.web. lter.authz.HttpMethodPermissionFilter</td> 
  </tr> 
  <tr> 
   <td>ssl</td> 
   <td>org.apache.shiro.web. lter.authz.SslFilter</td> 
  </tr> 
 </tbody> 
</table>

***anon:*** 匿名处理过滤器，即不需要登录即可访问；一般用于静态资源过滤；

示例 /static/\*\*=anon

***authc:*** 表示需要认证(登录)才能使用;

示例 /\*\*=authc

**roles:** 角色授权过滤器，验证用户是否拥有资源角色；

示例 /admin/\*=roles\[admin\]

**perms:** 权限授权过滤器，验证用户是否拥有资源权限；

示例 /employee/input=perms\[“user:update”\]

**logout:** 注销过滤器

示例 /logout=logout

### 3. 注销功能 ###

shiro.xml 中的路径规则加入 **/logout=logout** 即可交给shiro来处理，我们以前写的LoginController中的logout方法可以删掉啦。

# 总结 #

以上就是对Shiro 安全框架入门的总结了，代码仅供参考，欢迎讨论交流。  
下篇博客：[Shiro 安全框架详解二（概念+权限案例实现）][Shiro]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6dmFy_size_16_color_FFFFFF_t_70]: /images/20221005/489110c62dc24250b3f6cf129223cf44.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3p6dmFy_size_16_color_FFFFFF_t_70 1]: /images/20221005/7471811016ba47e19549ac25ecdc2a55.png
[Shiro]: https://blog.csdn.net/zzvar/article/details/118026944