【SaaS - Export项目】21 - apache shiro框架，shiro架构，shiro环境搭建

我就是我 2022-12-19 15:26 171阅读 0赞

### 文章目录 ###

*   *  Apache shiro框架
     *  Apache shiro的功能组成
     *  Apache shiro架构
     *   *  简图
     *  Apache shiro环境搭建
     *   *  1. 项目添加shiro依赖（整合spring依赖）
         *  2. web.xml中配置shiro过滤器
         *  3. Spring整合shiro，配置applicationContext-shiro.xml
         *  4. 创建自定义realm类(AuthRealm)，继承AuthorizingRealm
         *  5. 运行程序测试环境搭建
     *  Shiro流程分析

> 用户登录之后，左侧菜单栏对应着用户的模块权限，有什么权限就显示什么模块功能，但是用户通过url却能够访问到用户没有的模块权限（比如非管理员，通过url访问到日志页面等待）。
> 
> 我们可以通过**过滤器实现**，用户url地址访问的时候，判断用户是否具有权限，如果有权限，就打开页面，如果没有权限，就转到一个处理页面（比如没有权限页面）
> 
> 但是现在我们可以用框架来实现，这里我们用**apache shiro**框架来实现权限管理(（）常见的权限框架有apache Shiro 、spring Security等）

## Apache shiro框架 ##

> shiro介绍
> 
> > Apache Shiro是一个强大且易用的Java安全框架/权限框架  
> > 本质：预先定义好的`权限代码`（过滤器，RBAC模型设计，JSP标签等）
> 
> shiro框架的作用
> 
> > 执行身份验证、授权（查询有什么权限）、密码学（md5,sha1等加密防止明文泄漏)和会话管理。
> 
> apache Shiro 、spring Security的优劣
> 
> > Shiro 优势：设计简单，配置简单  
> > Shiro 劣势：功能没有Security强大。  
> >   
> > Security优势：不需要和spring进行整合，功能非常强大。  
> > Security劣势：配置非常的繁琐。

## Apache shiro的功能组成 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center]

> 四大功能：**认证，授权，加密，会话管理**  
> 1） 认证（比如判断账号密码） - \[登录验证\]
> 
> > 认证： 用户访问系统，系统校验用户身份是否合法的过程就是认证。  
> > **`Authentication`**：身份的认证/登录。常见的认证方式： 登陆认证。
> 
> 2）授权（查询权限） - \[登录成功后，访问判断是否有权限\]
> 
> > 授权： 权限校验。校验用户是否有权限访问的过程就是授权  
> > **`Authorization`**： 分配权限，查询权限  
> > 
> 
> > 如何实现授权？
> > 
> > 1.  获取登陆用户的权限；
> > 2.  自己指定访问资源需要的权限；
> > 3.  判断，拿着访问资源需要的权限去用户权限列表查找如果存在，就授权访问通过。否则，拒绝访问。
> 
> 3）加密（将密码加密保存到数据库）
> 
> > **`Cryptography`**，加密，保护数据的安全性（密码加密存储到数据库，而不是明文存储，防止密码泄露造成的损失）
> 
> 4）会话管理（退出功能）
> 
> > **`Session Manager`**，会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的（也就是不启动服务器，单元测试也能测试）

## Apache shiro架构 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 1]

> **`Subject`**（类似于于controller）：主体，代表了当前“用户”，类似jdbc的（比如登录，将用户的账号密码交给SecurityManager）  
> **`SecurityManager`**（类似于service）【核心】：安全管理器，所有与安全有关的操作都会与SecurityManager交互  
> **`Realm`** （类似于dao，用来访问数据库）：域，Shiro从Realm获取安全数据（如用户、角色、权限）

工作原理

> 1、应用代码通过Subject来进行认证和授权，而Subject又委托给SecurityManager；  
> 2、我们需要给Shiro的SecurityManager注入Realm，从而让SecurityManager能得到合法的用户及其权限进行判断。

### 简图 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 2]

> 调用顺序  
> 1）Subject调SecurityManger安全管理器 - 【不需要自己写，直接调用】  
> 2）SecurityManger安全管理器调realm - 【不需要自己写，顶多配置参数】  
> 3）realm访问数据库的表数据（类似于调用表） - 【需要自己写，按照自己的数据库表来写】

## Apache shiro环境搭建 ##

搭建shiro环境并实现认证，步骤如下：

### 1. 项目添加shiro依赖（整合spring依赖） ###

<dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-spring</artifactId>
                <version>1.3.2</version>
            </dependency>
            
            <dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-core</artifactId>
                <version>1.3.2</version>
            </dependency>

### 2. web.xml中配置shiro过滤器 ###

<filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
      </filter>
      <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        
        <url-pattern>/*</url-pattern>
      </filter-mapping>

### 3. Spring整合shiro，配置applicationContext-shiro.xml ###

<?xml version="1.0" encoding="UTF-8"?>
    <beans xmlns="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
    
        
        
        <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            
            <property name="securityManager" ref="securityManager"/>
        </bean>
    
    
        
        <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            
            <property name="realm" ref="authRealm"/>
        </bean>
    
        
        <bean id="authRealm" class="com.xgf.web.shiro.AuthRealm"/>
    
    </beans>

### 4. 创建自定义realm类(AuthRealm)，继承AuthorizingRealm ###

//shiro的一个能够查询权限的类
    //不需要再添加@Component,因为在xml中使用bean标签配置了（已经创建了实例）
    //继承授权AuthorizingRealm类，AuthorizingRealm两大功能： 认证（登录账号密码）和 授权（查用户有什么权限）
    public class AuthRealm extends AuthorizingRealm { 
        //日志
        private Logger l = LoggerFactory.getLogger(this.getClass());
        //spring通过反射调用无参构造函数（创建对象）
        public AuthRealm(){ 
            l.info("AuthRealm 无参构造函数");
        }
        //授权（查用户有什么权限）
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { 
            l.info("AuthRealm doGetAuthorizationInfo 函数执行");
            return null;
        }
        //认证（登录账号密码）
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException { 
            l.info("AuthRealm doGetAuthenticationInfo 函数执行");
            return null;
        }
    }

### 5. 运行程序测试环境搭建 ###

AuthRealm类被创建出来了，环境搭建成功  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 3]

## Shiro流程分析 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 4]  
两个重要功能：

1.  认证：`subject.login(token);`
2.  授权：`subject.checkPermission("权限名");`

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/c4ade643e4694393903798cee252ca12.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221120/372b1a61c5cb41279c6f341084f9cbb6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221120/971ed7c6ff594b49b7bebfa332eed5ea.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221120/336a679ff23648f9977b2eb344949ff6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwNTQyNTM0_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221120/d973016ad21d458392a0de3c61886680.png