安全验证框架shiro（一）

sucl

发布于 2019-08-07 11:47:50

5850

发布于 2019-08-07 11:47:50

文章被收录于专栏：企业平台构建

框架架构如下（来源于网络）：

Authentication：身份认证/登录，验证用户是不是拥有相应的身份；

Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；

Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通JavaSE环境的，也可以是如Web环境的；

Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；

Web Support：Web支持，可以非常容易的集成到Web环境；

Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；

Concurrency：shiro支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；

Testing：提供测试支持；

Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；

Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了

这篇文字关于shiro的架构和各模块的解释比较清楚，http://jinnianshilongnian.iteye.com/blog/2018936，了解了基本的知识后就是开始和怎么使用了

1、在javase中的应用

基于maven项目，首先导入相关jar包，日志和shrio核心包

<dependency>
		<groupId>org.slf4j</groupId>
		<artifactId>slf4j-log4j12</artifactId>
		<version>1.7.19</version>
	 </dependency>		
    
	  <dependency>
		<groupId>org.apache.shiro</groupId>
		<artifactId>shiro-core</artifactId>
		<version>${shiro.version}</version>
	  </dependency>

具体代码如下：

//日志
		Logger logger = LoggerFactory.getLogger(HelloShiro.class);
		//加载配置信息
		IniSecurityManagerFactory securityManagerFactory = new IniSecurityManagerFactory("classpath:helloshiro.ini");
		//
		SecurityManager securityManager = securityManagerFactory.getInstance();
		
		SecurityUtils.setSecurityManager(securityManager);
		//获取当前登入用户
		Subject subject = SecurityUtils.getSubject();
		
		//判断是否有角色
		boolean hasRole = subject.hasRole("admin");
		System.err.println(">>>>>>>>>>>>hasRole:"+hasRole);
		
		AuthenticationToken token = new UsernamePasswordToken("shiro", "123456");
		
		try {
			subject.login(token);
			logger.info("login success...");
			
			//判断
			boolean hasRole2 = subject.hasRole("admin");
			System.err.println(">>>>>>>>>>>>hasRole:"+hasRole2);
			
			//根据业务组装对应的权限串
			boolean hasSelect = subject.isPermitted("user:select");
			System.err.println("hasSelect:"+hasSelect);
			
			//对某个类型 ：操作：实例的权限
			//domain:actions:targets
			UserDomainPermission permission = new UserDomainPermission("delete", null);
//			permission.setDomain("user");//default:userdomain
			
			boolean hasDelete = subject.isPermitted(permission);
			System.err.println("hasDelete:"+hasDelete);
		} catch (AuthenticationException e) {
			//根据异常类型确定登入失败原因
			logger.error("login error!");;
			e.printStackTrace();
		}

其中 helloshiro.ini文件放在src/main/resources中即可，主要配资的是用户认证和权限相关信息，以K,V形式保存

#用户信息,所拥有角色
[users]
#username=password,[roles]
shiro=123456,admin,manager
jack=000000,oper
#角色对应权限
[roles]
admin=user:*
manager=user:retrieve,user:update,user:delete
oper=user:create,user:update

当然我们也可以将这些数据存入数据库，通过读取数据库来进行验证，首先加入相关jar：

<dependency>
		<groupId>c3p0</groupId>
		<artifactId>c3p0</artifactId>
		<version>0.9.1.2</version>
	</dependency>
	
	<dependency>
		<groupId>commons-logging</groupId>
		<artifactId>commons-logging</artifactId>
		<version>1.2</version>
	</dependency>
	
	<dependency>
		<groupId>mysql</groupId>
		<artifactId>mysql-connector-java</artifactId>
		<version>5.1.38</version>
	</dependency>

同时ini文件如下：

[main]
jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
#数据库指定自己的表和字段
#jdbcRealm=com.shiro.realm.jdbcrealm.UserJdbcRealm
dataSource=com.mchange.v2.c3p0.ComboPooledDataSource
dataSource.driverClass=com.mysql.jdbc.Driver
dataSource.jdbcUrl=jdbc:mysql://localhost:3306/shiro
dataSource.user=root
dataSource.password=123456
jdbcRealm.dataSource=$dataSource
securityManager.realms=$jdbcRealm

其余的处理都是相同的，可以打开