Spring Boot集成Shiro

Love The Way You Lie 2023-06-13 12:29 24阅读 0赞

# 0.前言 #

Shiro简单来说就是一个做权限鉴定与管理的一个工具。在搭建spring boot 集成Shrio的demo的时候，我们需要做一个前期的准备（demo中有sql文件），[demo在这里][demo]  
**数据库表：**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FzY18xMjM0NTY_size_16_color_FFFFFF_t_70]  
**Maven**：

<dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-spring</artifactId>
                <version>1.3.2</version>
            </dependency>
            
            <dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-core</artifactId>
                <version>1.3.2</version>
            </dependency>

# 1.登录的controller #

/** * 1.传统登录 * 前端发送登录请求 => 接口部分获取用户名密码 => 程序员在接口部分手动控制 * 2.shiro登录 * 前端发送登录请求 => 接口部分获取用户名密码 => 通过subject.login => realm域的认证方法 */
        @RequestMapping(value = "/login")
        public String login(String username, String password) { 
            //构造登录令牌
            try { 
    
                /** * 密码加密： * shiro提供的md5加密 * Md5Hash: * 参数一：加密的内容 * 111111 --- abcd * 参数二：盐（加密的混淆字符串）（用户登录的用户名） * 111111+混淆字符串 * 参数三：加密次数 * */
                password = new Md5Hash(password, username, 3).toString();
                System.out.println(username + "==>" + password);
                UsernamePasswordToken upToken = new UsernamePasswordToken(username, password);
                //1.获取subject
                Subject subject = SecurityUtils.getSubject();
    
                //获取session
                String sid = (String) subject.getSession().getId();
    
                //2.调用subject进行登录
                subject.login(upToken);
                return "登录成功：" + sid;
            } catch (Exception e) { 
                return "用户名或密码错误";
            }
        }

# 2. 自定义的Realm域 #

用来做权限的认证和授权，跟数据库进行交互，获取相应的权限或者角色信息，controller中使用subject.login(upToken);方法的时候就会执行这里的一些方法

/** * 自定义的realm */
    public class CustomRealm extends AuthorizingRealm { 
    
        @Override
        public void setName(String name) { 
            super.setName("customRealm");
        }
    
        @Autowired
        private UserService userService;
    
        /** * 授权方法 * 操作的时候，判断用户是否具有响应的权限 * 先认证 -- 安全数据 * 再授权 -- 根据安全数据获取用户具有的所有操作权限 * * */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { 
            //1.获取已认证的用户数据
            User user = (User) principalCollection.getPrimaryPrincipal();//得到唯一的安全数据
            //2.根据用户数据获取用户的权限信息（所有角色，所有权限）
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            Set<String> roles = new HashSet<>();//所有角色
            Set<String> perms = new HashSet<>();//所有权限
            for (Role role : user.getRoles()) { 
                roles.add(role.getName());
                for (Permission perm : role.getPermissions()) { 
                    perms.add(perm.getCode());
                }
            }
            info.setStringPermissions(perms);
            info.setRoles(roles);
            return info;
        }
    
    
        /** * 认证方法 * 参数：传递的用户名密码 */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException { 
            //1.获取登录的用户名密码（token）
            UsernamePasswordToken upToken = (UsernamePasswordToken) authenticationToken;
            String username = upToken.getUsername();
            String password = new String( upToken.getPassword());
            //2.根据用户名查询数据库
            User user = userService.findByName(username);
            //3.判断用户是否存在或者密码是否一致
            if(user != null && user.getPassword().equals(password)) { 
                System.out.println("用户名和密码正确，登陆成功");
                //4.如果一致返回安全数据
                //构造方法：安全数据，密码，realm域名
                SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
                return info;
            }
            //5.不一致，返回null（抛出异常）
            return null;
        }
    }

# 3.配置类 #

@Configuration
    public class ShiroConfiguration { 
    
        //1.创建realm
        @Bean
        public CustomRealm getRealm() { 
            return new CustomRealm();
        }
    
        //2.创建安全管理器
        @Bean
        public SecurityManager getSecurityManager(CustomRealm realm) { 
            DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
            securityManager.setRealm(realm);
    
            //将自定义的会话管理器注册到安全管理器中
            securityManager.setSessionManager(sessionManager());
            //将自定义的redis缓存管理器注册到安全管理器中
            securityManager.setCacheManager(cacheManager());
    
            return securityManager;
        }
    
        //3.配置shiro的过滤器工厂
    
        /** * 再web程序中，shiro进行权限控制全部是通过一组过滤器集合进行控制 * */
        @Bean
        public ShiroFilterFactoryBean shiroFilter(SecurityManager securityManager) { 
            //1.创建过滤器工厂
            ShiroFilterFactoryBean filterFactory = new ShiroFilterFactoryBean();
            //2.设置安全管理器
            filterFactory.setSecurityManager(securityManager);
            //3.通用配置（跳转登录页面，为授权跳转的页面）
            filterFactory.setLoginUrl("/autherror?code=1");//跳转url地址
            filterFactory.setUnauthorizedUrl("/autherror?code=2");//未授权的url
            //4.设置过滤器集合
    
            /** * 设置所有的过滤器：有顺序map * key = 拦截的url地址 * value = 过滤器类型 * */
            Map<String,String> filterMap = new LinkedHashMap<>();
            filterMap.put("/user/home","anon");//当前请求地址可以匿名访问
    
            //具有某种权限才能访问
            //使用过滤器的形式配置请求地址的依赖权限
            //filterMap.put("/user/home","perms[user-home]"); //不具备指定的权限，跳转到setUnauthorizedUrl地址
    
            //使用过滤器的形式配置请求地址的依赖角色
            //filterMap.put("/user/home","roles[系统管理员]");
    
            filterMap.put("/user/**","authc");//当前请求地址必须认证之后可以访问
    
            filterFactory.setFilterChainDefinitionMap(filterMap);
    
            return filterFactory;
        }
    
        //开启对shior注解的支持
        @Bean
        public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) { 
            AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
            advisor.setSecurityManager(securityManager);
            return advisor;
        }
    }

# 4.关于demo的说明 #

demo中使用了redis，用来存储sessionId，demo是学习[这套视频][Link 1]，大家也可以参考一些

[demo]: https://gitee.com/alu4r0735/shiro-demo
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FzY18xMjM0NTY_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191117153619499.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FzY18xMjM0NTY=,size_16,color_FFFFFF,t_70
[Link 1]: https://www.bilibili.com/video/av58518450?p=212