SpringBoot整合Shiro安全框架

一.Shiro简介

Apache Shiro是一个java安全框架
它可以完成认证、授权、加密、会话管理、web集成、缓存等工程
Github地址：https://github.com/apache/shiro
Shiro的基本架构
- Subject
- Shiro SecurityManager
- Realm

快速开始

<dependencies>
	<dependency>
		<groupId>org.apache.shiro</groupId>
		<artifactId>shiro-core</artifactId>
		<version>1.5.3</version>
	</dependency>
	<dependency>
		<groupId>org.slf4j</groupId>
		<artifactId>jcl-over-slf4j</artifactId>
		<version>1.7.21</version>
	</dependency>
	<dependency>
		<groupId>org.slf4j</groupId>
		<artifactId>slf4j-log4j12</artifactId>
		<version>1.7.21</version>
	</dependency>
	<dependency>
		<groupId>log4j</groupId>
		<artifactId>log4j</artifactId>
		<version>1.2.17</version>
	</dependency>
</dependencies>

二.Subject解析

首先在Github中找到quickstart文件夹，观察其Quickstart类

// 获取当前用户对象 Subject
Subject currentUser = SecurityUtils.getSubject();
// 通过当前用户拿到session
Session session = currentUser.getSession();
// 判断当前用户是否被认证
currentUser.isAuthenticated()
// 获得当前认证用户
currentUser.getPrincipal()
// 获得用户拥有什么角色
currentUser.hasRole("schwartz")
// 用户有什么权限 参数也可以为winnebago:drive:eagle5
currentUser.isPermitted("lightsaber:wield")
// 注销
currentUser.logout()

三.SpringBoot整合Shiro

第一步：添加依赖

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.5.3</version>
</dependency>

第二步：编写配置类

ShiroConfig类

@Configuration
public class ShiroConfig {

    //ShiroFilterFactoryBean（第三步）
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultWebSecurityManager){
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultWebSecurityManager);
        return bean;
    }

    //DefaultWebSecurityManager （第二步）
    @Bean(name="securityManager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //关联UserRealm
        securityManager.setRealm(userRealm);
        return securityManager;
    }

    //创建Realm对象，需要自定义 （第一步）
    @Bean
    public UserRealm userRealm(){
        return new UserRealm();
    }
}

第三步：编写Realm，在认证方法中取数据库信息进行比对

UserRealm类

//自定义Realm
public class UserRealm extends AuthorizingRealm {
    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("执行了 授权doGetAuthorizationInfo");
        return null;
    }
    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        System.out.println("执行了 认证doGetAuthenticationInfo");

        //用户名 密码 数据库
        String name = "root";
        String password = "123456";

        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        if(!userToken.getUsername().equals(name)){
            return null; //会自动抛出异常
        }

        //密码认证 shiro自动进行 会加密
      	//注意这里第一个参数(principal)可供授权方法获取，一般填用户实体类，第二个参数为正确密码
        return new SimpleAuthenticationInfo("",password,"");
    }
}

第四步：在登录接口中使用subject

登录Controller

@RequestMapping("/login")
public String login(String username, String password, Model model){
    //获取当前用户
    Subject subject = SecurityUtils.getSubject();

    //封装用户的登录数据
    UsernamePasswordToken token = new UsernamePasswordToken(username, password);

    try{
        subject.login(token); //执行登录方法，如果没有异常则成功
        return "index";
    }catch (UnknownAccountException e){ //用户名不存在
        model.addAttribute("msg","用户名错误");
        return "login";
    }catch (IncorrectCredentialsException e){ //密码不存在
        model.addAttribute("msg","密码错误");
        return "login";
    }
}

当然，以上只完成了shiro中的认证操作，下面来实现授权（不同身份）

在ShiroConfig类的拦截方法中，可以参考下列代码进行拦截配置

//ShiroFilterFactoryBean（第三步）
@Bean
public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultWebSecurityManager){

    ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();

    //设置安全管理器
    bean.setSecurityManager(defaultWebSecurityManager);

    //添加shiro内置过滤器
    /*
     *  anno: 无需认证即可访问
     *  authc: 必须认证才可访问
     *  user: 必须拥有记住我功能
     *  perms: 拥有对某个资源的权限才可访问
     *  role: 拥有某个角色权限
     */
    Map<String,String> filterMap = new LinkedHashMap<>();

    //授权
    filterMap.put("/user/add","perms[user:add]");

    //filterMap.put("/user/add","authc");
    //filterMap.put("/user/update","authc");
    filterMap.put("/user/*","authc");

    bean.setFilterChainDefinitionMap(filterMap);

    //设置登录的请求
    bean.setLoginUrl("/toLogin");

    //跳转到未授权界面
    bean.setUnauthorizedUrl("/toLogin");

    return bean;
}

在UserRealm中，写授权方法

//授权中获取认证方法传来的principal
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
    System.out.println("执行了 授权doGetAuthorizationInfo");

    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
  
    //info.addStringPermission("user:add"); 可以这样添加权限标识，但一般从数据库从取出
  
    //获取登录对象
    Subject subject = SecurityUtils.getSubject();
  
    //这个是从认证return的第一个参数(principal)获取
    User user = (User)subject.getPrincipal();	
  
    info.addStringPermission(user.getPerms()); //设置从数据库获取到的权限

    return info;
}