springboot整合Shiro
什么是Shiro
Apache Shiro是一個功能強大且易于使用的Java安全框架，它執(zhí)行身份驗證、授權(quán)、加密和會話管理。借助Shiro易于理解的API，您可以快速輕松地保護任何應(yīng)用程序—從最小的移動應(yīng)用程序到最大的web和企業(yè)應(yīng)用程序。
Shiro的三大核心概念
Subject：
主體，代表了當前“用戶”，這個用戶不一定是一個具體的人，與當前應(yīng)用交互的任何東西都是Subject，如爬蟲、機器人等；即一個抽象概念；所有Subject都綁定到SecurityManager，與Subject的所有交互都會委托給SecurityManager；可以把Subject認為是一個門面；SecurityManager才是實際的執(zhí)行者。
SecurityManager：
安全管理器；即所有與安全有關(guān)的操作都會與SecurityManager交互；且它管理著所有Subject；可以看出它是shiro的核心, SecurityManager相當于spring mvc中的dispatcherServlet前端控制器。
Realm：
域，shiro從Realm獲取安全數(shù)據(jù)(如用戶、角色、權(quán)限)，就是說SecurityManager要驗證用戶身份，那么它需要從Realm獲取相應(yīng)的用戶進行比較以確定用戶身份是否合法；也需要從Realm得到用戶相應(yīng)的角色/權(quán)限進行驗證用戶是否能進行操作；可以把Realm看成DataSource，即安全數(shù)據(jù)源。
Shiro功能介紹
Authentication：
身份認證/登錄，驗證用戶是不是擁有相應(yīng)的身份；
Authorization：
授權(quán)，即權(quán)限驗證，驗證某個已認證的用戶是否擁有某個權(quán)限；即判斷用 戶是否能進行什么操作，如：驗證某個用戶是否擁有某個角色?；蛘呒毩６鹊尿炞C某個用戶對某個資源是否具有某個權(quán)限
Session Manager：
會話管理，即用戶登錄后就是一次會話，在沒有退出之前，它的所有信息都在會話中；會話可以是普通 JavaSE 環(huán)境，也可以是 Web 環(huán)境的
Cryptography：
加密，保護數(shù)據(jù)的安全性，如密碼加密存儲到數(shù)據(jù)庫，而不是明文存儲； Web Support：Web 支持，可以非常容易的集成到Web 環(huán)境；
Caching：
緩存，比如用戶登錄后，其用戶信息、擁有的角色/權(quán)限不必每次去查，這樣可以提高效率；
Concurrency：
Shiro 支持多線程應(yīng)用的并發(fā)驗證，即如在一個線程中開啟另一個線程，能把權(quán)限自動傳播過去；
Testing：
提供測試支持；
Run As：
允許一個用戶假裝為另一個用戶（如果他們允許）的身份進行訪問；
Remember Me：
記住我，這個是非常常見的功能，即一次登錄后，下次再來的話不用登錄了
Springboot整合Shiro
導(dǎo)入依賴
<!-- https://mvnrepository.com/artifact/org.apache.shiro/shiro-spring -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.7.1</version>
</dependency>
配置javaConfig
三大核心對象ShiroFilterFactoryBean、DefaultWebSecurityManager、Realm
常用攔截器分類說明
javaConfig
@Configuration
public class ShiroConfig {
//ShiroFilterFactoryBean
@Bean
public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Autowired DefaultWebSecurityManager securityManager) {
ShiroFilterFactoryBean filterFactoryBean = new ShiroFilterFactoryBean();
filterFactoryBean.setSecurityManager(securityManager);
Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
//攔截
filterChainDefinitionMap.put("/user/add", "authc");
filterChainDefinitionMap.put("/user/update", "authc");
filterChainDefinitionMap.put("/user/*", "authc");
filterChainDefinitionMap.put("/logout", "logout");//退出
/*filterChainDefinitionMap.put("/*","authc");*/
//授權(quán)
filterChainDefinitionMap.put("/user/add","perms[user:add]");
filterChainDefinitionMap.put("/user/update","perms[user:update]");
//設(shè)置登錄的請求
filterFactoryBean.setLoginUrl("/toLogin");
//設(shè)置未授權(quán)頁面
filterFactoryBean.setUnauthorizedUrl("/unauth");
filterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
return filterFactoryBean;
}
//DefaultWebSecurityManager
@Bean
public DefaultWebSecurityManager getDefaultWebSecurityManager(@Autowired UserRealm userRealm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager.setRealm(userRealm);
return securityManager;
}
//Realm
@Bean
public UserRealm userRealm() {
return new UserRealm();
}
}
Realm
創(chuàng)建UserRealm繼承AuthorizingRealm實現(xiàn)doGetAuthorizationInfo()、doGetAuthenticationInfo()方法
從數(shù)據(jù)庫中拿到用戶信息，這里需要整合MyBatis、Druid相關(guān)依賴，具體的springboot整合MyBatis的代碼這里就贅述了，如果自己聯(lián)系，可以不從數(shù)據(jù)庫中獲取數(shù)據(jù)，可以自己直接設(shè)定默認的username和password
perm是該用戶的權(quán)限可以通過authorizationInfo.addStringPermissions();方法授權(quán)
public class UserRealm extends AuthorizingRealm {
@Autowired
UserService userService;
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
//authorizationInfo.addStringPermission("user:add");
Subject currentUser = SecurityUtils.getSubject();
/**
* 通過session取值
*/
/*Session session = currentUser.getSession();
String username = (String) session.getAttribute("username");
System.out.println(username);
User user = userService.getByUsername(username);
authorizationInfo.addStringPermission(user.getPerm());
System.out.println(user.getPerm());*/
/**
* 通過principal取值
*/
String username = (String) currentUser.getPrincipal();
System.out.println(username);
User user = userService.getByUsername(username);
System.out.println(user.getPerm());
String[] perms = user.getPerm().split(",");
ArrayList<String> permList = new ArrayList();
for (String perm : perms) {
permList.add(perm);
}
authorizationInfo.addStringPermissions(permList);
System.out.println("執(zhí)行了======>授權(quán)");
return authorizationInfo;
}
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
System.out.println("執(zhí)行了======>認證");
UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken;
User user = userService.getByUsername(token.getUsername());
if (user == null) {
return null;
}
//密碼可以加密
//密碼認證，shiro加密
return new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(),"");
}
}
Controller
@Controller
public class MyController {
@RequestMapping("/toLogin")
public String toLogin() {
return "login";
}
@RequestMapping({"/","/index"})
public String toIndex(Model model) {
model.addAttribute("msg","Hello,Shiro");
return "index";
}
@RequestMapping("/user/add")
public String addUser() {
return "user/add";
}
@RequestMapping("/user/update")
public String updateUser() {
return "user/update";
}
@PostMapping("/login")
public String login(String username, String password, Model model) {
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
Subject currentUser = SecurityUtils.getSubject();
try {
currentUser.login(token);
Session session = currentUser.getSession();
session.setAttribute("username", username);
return "index";
} catch (UnknownAccountException uae) {
model.addAttribute("msg", token.getPrincipal() + "用戶名不匹配");
return "login";
} catch (IncorrectCredentialsException ice) {
model.addAttribute("msg", token.getPrincipal() + "密碼錯誤");
return "login";
}
}
@ResponseBody
@RequestMapping("/unauth")
public String unAuth() {
return "未經(jīng)授權(quán)";
}
@RequestMapping("/logout")
public String logout() {
return "/login";
}
}
前端頁面這里就不獻丑了，大家自由發(fā)揮
Shiro整合thymeleaf
導(dǎo)入依賴
<!--thymeleaf shiro整合包-->
<!-- https://mvnrepository.com/artifact/com.github.theborakompanioni/thymeleaf-extras-shiro -->
<dependency>
<groupId>com.github.theborakompanioni</groupId>
<artifactId>thymeleaf-extras-shiro</artifactId>
<version>2.0.0</version>
</dependency>
HTML頁面命名空間
<html lang="en" xmlns:th="http://www.thymeleaf.org"
xmlns:shiro="http://www.pollix.at/thymeleaf/shiro">
使用舉例
<div shiro:notAuthenticated=""> <!--沒有認證不顯示-->
<p><button><a th:href="@{/toLogin}">登錄</a></button></p>
</div>
<div shiro:authenticated=""><!--認證了顯示-->
<p><button><a th:href="@{/logout}">退出</a></button></p>
</div>
<hr/>
<div shiro:hasPermission="user:update"><!--有user:update 權(quán)限顯示-->
<a th:href="@{/user/add}">add</a>
</div>
<div shiro:hasPermission="user:add"><!--有user:add權(quán)限顯示-->
<a th:href="@{/user/update}">update</a>
</div>
總結(jié)
本篇文章就到這里了，希望能對你有所幫助，也希望您能夠多多關(guān)注腳本之家的更多內(nèi)容！
相關(guān)文章
java使用淘寶API讀寫json實現(xiàn)手機歸屬地查詢功能代碼
本文介紹java使用淘寶API讀寫json實現(xiàn)手機歸屬地查詢功能，代碼簡單，大家可以參考使用2013-11-11
這篇文章主要介紹了Java之Spring注解開發(fā)案例詳解,本篇文章通過簡要的案例,講解了該項技術(shù)的了解與使用,以下就是詳細內(nèi)容,需要的朋友可以參考下2021-07-07
SpringBoot搭建多數(shù)據(jù)源的實現(xiàn)方法
說起多數(shù)據(jù)源,一般都來解決那些問題呢,主從模式或者業(yè)務(wù)比較復(fù)雜需要連接不同的分庫來支持業(yè)務(wù)。本文主要介紹了SpringBoot搭建多數(shù)據(jù)源的實現(xiàn)方法，感興趣的可以了解一下，感興趣的可以額了解一下2021-12-12
MyBatis實現(xiàn)動態(tài)SQL的實現(xiàn)方法
這篇文章主要介紹了MyBatis實現(xiàn)動態(tài)SQL的實現(xiàn)方法，文中通過示例代碼介紹的非常詳細，對大家的學(xué)習或者工作具有一定的參考學(xué)習價值，需要的朋友們下面隨著小編來一起學(xué)習學(xué)習吧2019-12-12
AOP為Aspect Oriented Programming的縮寫，意為：面向切面編程，可通過運行期動態(tài)代理實現(xiàn)程序功能的統(tǒng)一維護的一種技術(shù)。AOP是 Spring框架中的一個重要內(nèi)容2023-02-02
這篇文章主要介紹了java開放地址法和鏈地址法解決hash沖突的方法示例，文中通過示例代碼介紹的非常詳細，對大家的學(xué)習或者工作具有一定的參考學(xué)習價值，需要的朋友們下面隨著小編來一起學(xué)習學(xué)習吧2019-12-12
這篇文章主要介紹了SpringBoot一個非常蛋疼的無法啟動的問題解決，文中通過示例代碼介紹的非常詳細，對大家的學(xué)習或者工作具有一定的參考學(xué)習價值，需要的朋友們下面隨著小編來一起學(xué)習學(xué)習吧2020-11-11
這篇文章主要介紹了Jackson序列化丟失泛型的解決方案，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2021-06-06
Java基礎(chǔ)之FileInputStream和FileOutputStream流詳解
這篇文章主要介紹了Java基礎(chǔ)之FileInputStream和FileOutputStream流詳解,文中有非常詳細的代碼示例,對正在學(xué)習java基礎(chǔ)的小伙伴們有非常好的幫助,需要的朋友可以參考下2021-04-04
已有的springcloud+mybatis項目升級為mybatis-plus的方法
這篇文章主要介紹了已有的springcloud+mybatis項目升級為mybatis-plus，文中通過示例代碼介紹的非常詳細，對大家的學(xué)習或者工作具有一定的參考學(xué)習價值，需要的朋友們下面隨著小編來一起學(xué)習學(xué)習吧2021-03-03