1、shiro简介
1.1、概述
Apache Shiro 是一个功能强大且易于使用的 Java 安全(权限)框架。Shiro 可以完成：认证、授权、加密、会话管理、与 Web 集成、缓存 等。借助 Shiro 您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。
官网：https://shiro.apache.org/
1.2、为什么要用 Shiro
自 2003 年以来，框架格局发生了相当大的变化，因此今天仍然有很多系统在使用Shiro。这与 Shiro 的特性密不可分。
- 易于使用：使用 Shiro 构建系统安全框架非常简单。就算第一次接触也可以快速掌 握。
- 全面：Shiro 包含系统安全框架需要的功能，满足安全需求的“一站式服务”。
- 灵活：Shiro 可以在任何应用程序环境中工作。虽然它可以在 Web、EJB 和 IoC 环境 中工作，但不需要依赖它们。Shiro也没有强制要求任何规范，甚至没有很多依赖项。
- 强力支持 Web：Shiro 具有出色的 Web 应用程序支持，可以基于应用程序 URL 和 Web 协议（例如REST）创建灵活的安全策略，同时还提供一组 JSP 库来控制页面输出。
- 兼容性强：Shiro 的设计模式使其易于与其他框架和应用程序集成。Shiro 与Spring、Grails、Wicket、Tapestry、Mule、Apache Camel、Vaadin 等框架无缝集成。
- 社区支持：Shiro 是 Apache 软件基金会的一个开源项目，有完备的社区支持，文档 支持。如果需要，像 Katasoft 这样的商业公司也会提供专业的支持和服务。
1.3、Shiro 与 SpringSecurity 的对比
- Spring Security 基于 Spring 开发，项目若使用 Spring 作为基础，配合 Spring Security做权限更加方便，而 Shiro 需要和 Spring 进行整合开发；
- Spring Security 功能比 Shiro 更加丰富些，例如安全维护方面；
- Spring Security 社区资源相对比 Shiro 更加丰富；
- Shiro 的配置和使用比较简单，Spring Security 上手复杂些；
- Shiro 依赖性低，不需要任何框架和容器，可以独立运行。Spring Security 依赖 Spring 容器；
- shiro 不仅仅可以使用在 web 中，它可以工作在任何应用环境中。在集群会话时 Shiro最重要的一个好处或许就是它的会话是独立于容器的。
1.4、基本功能
- Authentication：身份认证/登录，验证用户是不是拥有相应的身份。
- Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即 判断用户是否能进行什么操作，如：验证某个用户是否拥有某个角色。或者细粒度的验证 某个用户 对某个资源是否具有某个权限。
- Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的 所有 信息都在会话中；会话可以是普通JavaSE 环境，也可以是 Web 环境的。
- Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储。
- Web Support：Web 支持，可以非常容易的集成到 Web 环境。
- Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这 样可 以提高效率。
- Concurrency：Shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去。
- Testing：提供测试支持。
- Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问。
- Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。
1.5、原理
1.5.1、Shiro 架构(Shiro 外部来看)
从外部来看 Shiro ，即从应用程序角度的来观察如何使用 Shiro 完成工作Shiro 架构
- Subject：应用代码直接交互的对象是 Subject，也就是说 Shiro 的对外 API 核心 就是Subject。Subject 代表了当前“用户”， 这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫， 机器人等；与 Subject 的所有交互 都会委托给 SecurityManager； Subject其实是一个门面，SecurityManager 才是实际的执行者。
- SecurityManager：安全管理器；即所有与安全有关的操作都会与 SecurityManager 交互；且其管理着所有Subject；可以看出它是 Shiro 的核心，它负责与 Shiro 的其他 组件进行交互，它相当于 SpringMVC 中DispatcherServlet 的角色。
- Realm：Shiro 从 Realm 获取安全数据（如用户、角色、权限），就是说 SecurityManager 要验证用户身份，那么它需要从 Realm 获取相应的用户 进行比较以确 定用户身份是否合法；也需要从 Realm 得到用户相应的角色/权限进行验证用户是否能进 行操作；可以把 Realm 看成 DataSource。
1.5.2、Shiro 架构(Shiro 内部来看)
Shiro 架构
- Subject：任何可以与应用交互的“用户”。
- SecurityManager ：相当于 SpringMVC 中的 DispatcherServlet；是 Shiro 的心脏；所有具体的交互都通过 SecurityManager 进行控制；它管理着所有 Subject、且负 责进行认证、授权、会话及缓存的管理。
- Authenticator：负责 Subject 认证，是一个扩展点，可以自定义实现；可以使用认证策略（Authentication Strategy），即什么情况下算用户认证通过了。
- Authorizer：授权器、即访问控制器，用来决定主体是否有权限进行相应的操作；即 控 制着用户能访问应用中的哪些功能。
- Realm：可以有 1 个或多个 Realm，可以认为是安全实体数据源，即用于获取安全实 体 的；可以是 JDBC实现，也可以是内存实现等等；由用户提供；所以一般在应用中都需 要 实现自己的 Realm。
- SessionManager：管理 Session 生命周期的组件；而 Shiro 并不仅仅可以用在 Web 环境，也可以用在如普通的JavaSE 环境。
- CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据 基本上很少改变，放到缓存中后可以提高访问的性能。
- Cryptography：密码模块，Shiro 提高了一些常见的加密组件用于如密码加密/解密。
2、基本使用
2.1、Shiro不依赖容器，直接创建maven工程即可
2.2、添加依赖
<dependencies>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.9.0</version>
</dependency>
<dependency>
<groupId>commons-logging</groupId>
<artifactId>commons-logging</artifactId>
<version>1.2</version>
</dependency>
</dependencies>
2.3、 INI 文件
Shiro 获取权限相关信息可以通过数据库获取，也可以通过 ini 配置文件获取
2.4、登录认证
2.4.1、登录认证概念
- 身份验证：一般需要提供如身份ID等一些标识信息来表明登录者的身份，如提供 email，用户名/密码来证明。
- 在shiro中，用户需要提供principals（身份）和credentials（证明）给shiro，从 而应用能验证用户身份。
- principals：身份，即主体的标识属性，可以是任何属性，如用户名、邮箱等，唯一即可。一个主体可以有多个principals，但只有一个Primary principals，一般是用户名/ 邮箱/手机号。
- credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等。
- 最常见的principals和credentials组合就是用户名/密码。
2.4.2、登录认证基本流程
- 收集用户身份/凭证，即如用户名/密码。
- 调用 Subject.login 进行登录，如果失败将得到相应的 AuthenticationException 异常，根据异常提示用户 错误信息；否则登录成功。
- 创建自定义的 Realm 类，继承org.apache.shiro.realm.AuthenticatingRealm类， 实现 doGetAuthenticationInfo() 方法。
2.5、登录认证实例
2.5.1、创建测试类，获取认证对象，进行登录认证，如下：
public class ShiroRun {
public static void main(String[] args) {
//1初始化获取SecurityManager
IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro.ini");
SecurityManager securityManager = factory.getInstance();
SecurityUtils.setSecurityManager(securityManager);
//2获取Subject对象
Subject subject = SecurityUtils.getSubject();
//3创建token对象，web应用用户名密码从页面传递
AuthenticationToken token = new UsernamePasswordToken("zhangsan","123");
//4完成登录
try {
subject.login(token);
System.out.println("登录成功");
} catch (UnknownAccountException e){
e.printStackTrace();
System.out.println("用户不存在");
} catch (IncorrectCredentialsException e){
e.printStackTrace();
System.out.println("密码错误");
}catch (Exception e) {
e.printStackTrace();
}
}
}
2.5.2、测试
- 登录成功
-
用户名不存在
-
密码错误
2.6、身份认证流程
- 首先调用 Subject.login(token) 进行登录，其会自动委托给 SecurityManager。
- SecurityManager 负责真正的身份验证逻辑；它会委托给 Authenticator 进行身份 验证。
- Authenticator 才是真正的身份验证者，Shiro API 中核心的身份认证入口点，此 处可以自定义插入自己的实现。
- Authenticator 可能会委托给相应的 AuthenticationStrategy 进 行多 Realm 身份 验证，默认ModularRealmAuthenticator 会调用 AuthenticationStrategy 进行多 Realm 身份验证。
- Authenticator 会把相应的 token 传入 Realm，从 Realm 获取 身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处 可以配置多个Realm，将按照相应的顺序 及策略进行访问。
2.7、角色、授权
2.7.1、授权概念
- 授权，也叫访问控制，即在应用中控制谁访问哪些资源（如访问页面/编辑数据/页面 操作等）。在授权中需了解的几个关键对象：主体（Subject）、资源（Resource）、权 限（Permission）、角色（Role）。
- 主体(Subject)：访问应用的用户，在 Shiro 中使用 Subject 代表该用户。用户只有授权后才允许访问相应的资源。
- 资源(Resource)：在应用中用户可以访问的 URL，比如访问 JSP 页面、查看/编辑某些数据、访问某个业务方法、打印文本等等都是资源。用户只要授权后才能访问。
- 权限(Permission)：安全策略中的原子授权单位，通过权限我们可以表示在应用中 用户有没有操作某个资源的权力。即权限表示在应用中用户能不能访问某个资源，如：访问用户列表页面查看/新增/修改/删除用户数据（即很多时候都是CRUD（增查改删）式权 限控制）等。权限代表了用户有没有操作某个资源的权利，即反映在某个资源上的操作允 不允许。
- Shiro 支持粗粒度权限（如用户模块的所有权限）和细粒度权限（操作某个用户的权限， 即实例级别的）。
- 角色(Role)：权限的集合，一般情况下会赋予用户角色而不是权限，即这样用户可以拥有一组权限，赋予权限时比较方便。典型的如：项目经理、技术总监、CTO、开发工 程师等都是角色，不同的角色拥有一组不同的权限。
2.7.2、授权方式
- 编程式：通过写if/else 授权代码块完成
if (subject.hasRole("admin")){
//有权限
} else {
//无权限
}
- 注解式：通过在执行的Java方法上放置相应的注解完成，没有权限将抛出相 应的异常
@RequiresRoles("admin")
public void test(){
//有权限
}
- JSP/GSP 标签：在JSP/GSP 页面通过相应的标签完成
<shiro:hasRole name="admin">
<!--有权限-->
</shiro:hasRole>
2.7.3、授权流程
- 首先调用Subject.isPermitted*/hasRole*接口，其会委托给SecurityManager，而SecurityManager接着会委托给 Authorizer。
- Authorizer是真正的授权者，如果调用如isPermitted(“user:view”)，其首先会通过PermissionResolver把字符串转换成相应的Permission实例。
- 在进行授权之前，其会调用相应的Realm获取Subject相应的角色/权限用于匹配传入的角色/权限。
- Authorizer会判断Realm的角色/权限是否和传入的匹配，如果有多个Realm，会委托给ModularRealmAuthorizer进行循环判断，如果匹配如isPermitted*/hasRole* 会返回true，否则返回false表示授权失败。
2.8、授权实例
2.8.1、获取角色信息
-
给shiro.ini增加角色配置
-
给例子添加代码，沟通过hasRole()判断用户是否有指定角色
//5.判断角色
boolean role1 = subject.hasRole("role1");
System.out.println("是否拥有此角色："+role1);
- 测试
2.8.2、判断权限信息
- 给shiro.ini增加权限配置
- 给例子添加代码，判断用户是否有指定权限
//6.判断权限
boolean permitted = subject.isPermitted("user:insert111");
System.out.println("是否用有此权限："+permitted);
//也可以用checkPermission方法，但没有返回值，没权限抛AuthenticationException
subject.checkPermission("user:select1111");
-
测试
2.9、Shiro 加密
实际系统开发中，一些敏感信息需要进行加密，比如说用户的密码。Shiro 内嵌很多常用的加密算法，比如 MD5 加密。Shiro 可以很简单的使用信息加密。
使用Shiro进行密码加密.
public class ShiroMD5 {
public static void main(String[] args) {
String password = "123456";
//使用md5加密
// toHex()：转换为它的HEX(十六进制)
Md5Hash md51 = new Md5Hash(password);
System.out.println("md5加密："+md51.toHex());
//带盐的md5加密，盐就是在密码明文后拼接新字符串，然后再进行加密
Md5Hash md52 = new Md5Hash(password,"salt");
System.out.println("带盐的MD5加密："+md52.toHex());
//为了保证安全，避免被破解还可以多次迭代加密，保证数据安全
Md5Hash md53 = new Md5Hash(password,"salt",3);
System.out.println("md5带盐的3次加密："+md53.toHex());
//使用父类进行加密
SimpleHash simpleHash = new SimpleHash("MD5",password,"salt",3);
System.out.println("父类带盐的3次加密："+simpleHash.toHex());
}
}
2.10、Shiro 自定义登录认证
Shiro 默认的登录认证是不带加密的，如果想要实现加密认证需要自定义登录认证，自定义 Realm。文章来源：https://www.toymoban.com/news/detail-464332.html
- 自定义登录认证
public class MyRealm extends AuthenticatingRealm {
//自定义登录认证方法，shiro的login方法底层会调用该类的认证方法进行认证
//需要配置自定义的realm生效，在ini文件中配置，在Springboot中配置
//该方法只是获取进行对比的信息，认证逻辑还是按照shiro底层认证逻辑完成
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
//1.获取身份信息
String principal = authenticationToken.getPrincipal().toString();
//2.获取凭证信息
String password = new String((char[])authenticationToken.getCredentials());
System.out.println("认证用户信息："+principal + "----"+password);
//3.获取数据库中存储的用户信息
if (principal.equals("zhangsan")){
//3.1数据库中存储的加盐3次迭代的密码
String pwdInfo = "d1b129656359e35e95ebd56a63d7b9e0";
//4创建封装校验逻辑对象，封装数据返回
AuthenticationInfo info = new SimpleAuthenticationInfo(
authenticationToken.getPrincipal(),
pwdInfo,
ByteSource.Util.bytes("salt"),
authenticationToken.getPrincipal().toString()
);
return info;
}
return null;
}
}
- 在shiro.ini中添加配置信息
[main]
md5CredentialsMatcher=org.apache.shiro.authc.credential.Md5CredentialsMatcher
md5CredentialsMatcher.hashIterations=3
myrealm=com.shiro.MyRealm //自定义realm的路径
myrealm.credentialsMatcher=$md5CredentialsMatcher
securityManager.realms=$myrealm
[users]
zhangsan=d1b129656359e35e95ebd56a63d7b9e0,role1,role2
lisi=456
[roles]
role1:insert,user:select
- 使用加密的密码
- 运行测试
结束！！！文章来源地址https://www.toymoban.com/news/detail-464332.html
个性像白纸，一经污染，便永不能再如以前的洁白。——黑格尔
到了这里，关于shiro 安全(权限)框架的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
