java shiro demo_（一）shiro简介和用户登录demo及角色管理

一时失言乱红尘 2022-11-06 09:51 257阅读 0赞

一、shiro简介

Apache Shiro是Java的一个安全框架。Shiro可以非常容易的开发出足够好的应用，其不仅可以用在JavaSE环境，也可以用在JavaEE环境。Shiro可以帮助我们完成：认证、授权、加密、会话管理、与Web集成、缓存等

![7919922c2b6b685e042dc1a881057562.png][]

Authentication：身份认证/登录，验证用户是不是拥有相应的身份；

Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；

Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；

Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；

Web Support：Web支持，可以非常容易的集成到Web环境；

Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；

Concurrency：shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；

Testing：提供测试支持；

Run As：允许一个用户假装为另一个用户(如果他们允许)的身份进行访问；

Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。

二、shiro是如何工作的？

![3217cd8209bca95a366a4f0bed71ae86.png][]

Subject：主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；SecurityManager才是实际的执行者；

SecurityManager：安全管理器；即所有与安全有关的操作都会与SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；

Realm：域，Shiro从从Realm获取安全数据(如用户、角色、权限)，就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。

二、创建maven的web工程，引入shiro依赖

4.0.0

com.shyroke.www

firstShiro

war

0.0.1-SNAPSHOT

firstShiro Maven Webapp

http://maven.apache.org

1.3.2

javax.servlet

servlet-api

2.5

provided

org.slf4j

slf4j-api

1.7.21

org.slf4j

jcl-over-slf4j

1.7.21

runtime

ch.qos.logback

logback-classic

1.1.7

runtime

org.apache.shiro

shiro-core

$\{shiro.version\}

org.apache.shiro

shiro-web

$\{shiro.version\}

firstShiro

三、web.xml中配置shiro监听器

/index.jsp

org.apache.shiro.web.env.EnvironmentLoaderListener

ShiroFilter

org.apache.shiro.web.servlet.ShiroFilter

ShiroFilter

/\*

REQUEST

FORWARD

INCLUDE

ERROR

LoginServlet

servlet.LoginServlet

LoginServlet

/login

四、创建shiro配置文件shiro.ini

shiro默认配置文件名为shiro.ini且位于WEB-INFO目录下

\[main\]

authc.loginUrl = /login

\[users\]

admin=123

user1=456

\[urls\]

/admin/\*\* =    authc

/index.jsp = authc

/=authc

/login.jsp = anon

\[users\]下注册的是用户名和密码用等号隔开。

/admin/\*\* =    authc和 /index.jsp = authc 表示在admin目录下的资源和index.jsp被访问时都需要验证(用户名和密码)

/=authc 和 /login.jsp = anon　 表示访问url为“/”的路径和/login.jsp不需要验证即可访问，/=authc 一定要加，因为“/”路径

默认访问index.jsp，这样/login.jsp = anon 没有效果了。

五、创建登录页面

Insert title here

## $\{emsg\} ##

username:  
password:

六、编写LoginServlet

packageservlet;importjava.io.IOException;importjavax.servlet.ServletException;importjavax.servlet.http.HttpServlet;importjavax.servlet.http.HttpServletRequest;importjavax.servlet.http.HttpServletResponse;importorg.apache.shiro.SecurityUtils;importorg.apache.shiro.authc.AuthenticationException;importorg.apache.shiro.authc.IncorrectCredentialsException;importorg.apache.shiro.authc.UnknownAccountException;importorg.apache.shiro.authc.UsernamePasswordToken;importorg.apache.shiro.subject.Subject;/\*\*\* Servlet implementation class LoginServlet\*/

public class LoginServlet extendsHttpServlet \{private static final long serialVersionUID = 1L;/\*\*\*@seeHttpServlet\#doGet(HttpServletRequest request, HttpServletResponse

\* response)\*/

protected voiddoGet(HttpServletRequest request, HttpServletResponse response)throwsServletException, IOException \{

request.getRequestDispatcher("/commons/login.jsp").forward(request, response);

\}/\*\*\*@seeHttpServlet\#doPost(HttpServletRequest request, HttpServletResponse

\* response)\*/

protected voiddoPost(HttpServletRequest request, HttpServletResponse response)throwsServletException, IOException \{

String userName= request.getParameter("username");

String passWord= request.getParameter("password");

Subject subject=SecurityUtils.getSubject();

UsernamePasswordToken token= newUsernamePasswordToken(userName, passWord);

String emsg= null;try\{

subject.login(token);

\}catch(UnknownAccountException e) \{

emsg= "用户名错误";

\}catch(IncorrectCredentialsException e) \{

emsg= "密码错误";

\}catch(AuthenticationException e) \{

emsg= "其他异常=" +e.getMessage();

\}if (emsg != null) \{//说明有异常

request.setAttribute("emsg", emsg);

request.getRequestDispatcher("/commons/login.jsp").forward(request, response);

\}else\{

request.getRequestDispatcher("/index.jsp").forward(request, response);

\}\}

七、目录结构

![274a35117980e6adf1b034da4606f841.png][]

八、结果

![9c8a5f9bdfecad5fdad8ea46f2f419b9.png][]

![d907dafd3ebafe8892f5409bf863e2a0.png][]

![9c1131b58a06f8e99105c80ec656f522.png][]

二、角色管理

配置和java代码跟上例一，shiro.ini修改为

\[main\]

authc.loginUrl= /login

\[users\]

admin=123,admin

user1=456,user

zs=159\[roles\]

admin=admin:\*,users:\*user=users:\*\[urls\]/admin/\*\*= authc,roles\[admin\]

/users/list.jsp=authc,perms\[users:list\]

/users/\*\*=authc

/index.jsp = authc

/login.jsp = anon

/=authc

/logout=logout

admin=admin:\*,users:\* ： admin角色有admin和users中所有权限

/admin/\*\*= authc,roles\[admin\] ：左边等号表示admin目录下所有资源，右边等号指需要登陆验证且拥有admin角色

/users/list.jsp=authc,perms\[users:list\] ：右边等号指需要登陆验证且拥有users：list权限

目录结构

![65629bab51632d2117474b72f038daa2.png][]

结果：

登陆后的admin用户可以访问admin目录和users目录中所有页面

登陆后的user1用户可以访问users目录中的所有页面

登陆后的zs用户可以访问users中的add.jsp 但是不能访问list.jsp 因为没有赋给zs用户users:list权限

[7919922c2b6b685e042dc1a881057562.png]: /images/20221023/293fb8557ebe46be8318fcc695dba36b.png
[3217cd8209bca95a366a4f0bed71ae86.png]: /images/20221023/3680c6013f3640199e1d868cf7e82471.png
[274a35117980e6adf1b034da4606f841.png]: /images/20221023/0118866a5c2e47b1bfdb44a77dfe1968.png
[9c8a5f9bdfecad5fdad8ea46f2f419b9.png]: /images/20221023/6907d739e66c4fd891facad56b6abea0.png
[d907dafd3ebafe8892f5409bf863e2a0.png]: /images/20221023/f516be92439849138bbd42aa4f9dd275.png
[9c1131b58a06f8e99105c80ec656f522.png]: /images/20221023/a4133880726e46879db71d4f5984bb77.png
[65629bab51632d2117474b72f038daa2.png]: /images/20221023/29cafc45e8ea41b59b93e61898e1a13c.png