Shiro框架01之什么是shiro+shiro的架构+权限认证-阿里云开发者社区

1. 什么是shiro

shiro是apache的一个开源框架，是一个权限管理的框架，实现用户认证、用户授权。

? spring中有spring security (原名Acegi)，是一个权限框架，它和spring依赖过于紧密，没有shiro使用简单。
? shiro不依赖于spring，shiro不仅可以实现 web应用的权限管理，还可以实现c/s系统，
? 分布式系统权限管理，shiro属于轻量框架，越来越多企业项目开始使用shiro。

2. 在应用程序角度来观察如何使用Shiro完成工作

Subject：

主体，代表了当前“用户”，这个用户不一定是一个具体的人，与当前应用交互的任何东西都是Subject，如网络爬虫，机器人等；即一个抽象概念；所有Subject 都绑定到SecurityManager，与Subject的所有交互都会委托给SecurityManager；可以把Subject认为是一个门面；

SecurityManager：

实际的执行者；

SecurityManager：

安全管理器；即所有与安全有关的操作都会与SecurityManager 交互；且它管理着所有Subject；可以看出它是Shiro 的核心，它负责与后边介绍的其他组件进行交互，如果学习过SpringMVC，你可以把它看成DispatcherServlet前端控制器；

Realm：

域，Shiro从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource，即安全数据源。

3. shiro架构

3.1 subject：

主体，可以是用户也可以是程序，主体要访问系统，系统需要对主体进行认证、授权。

3.2 securityManager：

安全管理器，主体进行认证和授权都是通过securityManager进行。securityManager是一个集合，真正做事的不是securityManager而是它里面的东西。

3.3 authenticator：

认证器，主体进行认证最终通过authenticator进行的。

3.4 authorizer：

授权器，主体进行授权最终通过authorizer进行的。

3.5 sessionManager：

web应用中一般是用web容器（中间件tomcat）对session进行管理，shiro也提供一套session管理的方式。shiro不仅仅可以用于web管理也可以用于cs管理，所以他不用web容器的session管理。

3.6 SessionDao：

通过SessionDao管理session数据，针对个性化的session数据存储需要使用sessionDao（如果用tomcat管理session就不用SessionDao，如果要分布式的统一管理session就要用到SessionDao）。

3.7 cache Manager：

缓存管理器，主要对session和授权数据进行缓存（权限管理框架主要就是对认证和授权进行管理， session是在服务器缓存中的），比如将授权数据通过cacheManager进行缓存管理，和ehcache整合对缓存数据进行管理（redis是缓存框架）。

3.8 realm：

域，领域，相当于数据源，通过realm存取认证、授权相关数据（原来是通过数据库取的）。

注意：authenticator认证器和authorizer授权器调用realm中存储授权和认证的数据和逻辑。

3.9 cryptography：

密码管理，比如md5加密，提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。比如 md5散列算法（md5只有加密没有解密）。

4. Shiro身份验证(shiro.ini)

Shiro 关于_w3cschool

身份验证的步骤：

1 收集用户身份 / 凭证，即如用户名 / 密码；

2 调用 Subject.login 进行登录，如果失败将得到相应的 AuthenticationException 异常，根据异常提示用户错误信息；否则登录成功；

3 最后调用 Subject.logout 进行退出操作。

5. Shiro权限认证(支持三种方式的授权)

5.1 编程式：通过写if/else授权代码块完成

Subject subject = SecurityUtils.getSubject();
      if(subject.hasRole("admin")) {
        //有权限
      } else {
        //无权限
      }

5.2 注解式：通过在执行的Java方法上放置相应的注解完成，另外，没有权限将抛出相应的异常

@RequiresRoles("admin")
      public void hello() {
        //有权限
      }

5.3 JSP/GSP标签：在JSP/GSP页面通过相应的标签完成

<shiro:hasRole name="admin">
      <!— 有权限 —>
      </shiro:hasRole>

6. 授权

6.1 基于角色的访问控制（shiro-role.ini|粗颗粒度)

[users]
lhm=416,role1
ltg=121,role2
zxx=1223,role4
dj=913,role1,role2

规则：“用户名=密码,角色1，角色2”

方法： hasRole/hasRoles/hasAllRoles和checkRole/checkRoles

package com.zking.shiro01.util;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
public class Demo {
    public static <IniSecurityManagerFactory> void main(String[] args) {
        //1.加载读取自定义Realm数据源
        IniSecurityManagerFactory factory=new IniSecurityManagerFactory("classpath:shiro-permission.ini");
        //2.获取安全管理器SecurityManger
        SecurityManager securityManager = factory.getInstance();
        //3.将SecurityManager交由SecurityUtils工具类来管理
        SecurityUtils.setSecurityManager(securityManager);
        //4.获取Subject
        Subject subject=SecurityUtils.getSubject();
        //5.创建用户账号和密码的登陆令牌token
        UsernamePasswordToken token=new UsernamePasswordToken(
                "lhm",
                "416"
        );
        try {
            //异常
            //1)org.apache.shiro.authc.IncorrectCredentialsException:密码错误
            //2)org.apache.shiro.authc.UnknownAccountException:用户名不存在
            //3)org.apache.shiro.authz.UnauthorizedException:无权限
            //6.用户认证
            subject.login(token);
            System.out.println("用户认证成功！");
        } catch (AuthenticationException e) {
            System.out.println("认证失败！");
            e.printStackTrace();
        }
        //8.角色验证
        try {
             subject.checkRole("role2");
                System.out.println("角色验证成功！");
        } catch (Exception e) {
            System.out.println("角色验证失败！");
            e.printStackTrace();
        }
        try {
            //9.权限验证
           /* if (subject.isPermitted("system:user:add")) {
                System.out.println("权限验证成功！");
            } else {
                System.out.println("权限验证失败！");
            }*/
           subject.checkPermission("system:user:edit");
            System.out.println("权限验证成功!");
        } catch (Exception e) {
            System.out.println("权限验证失败!");
            e.printStackTrace();
        }
        //7.安全退出
        subject.logout();
    }
}

注1：hasXxx和checkXxx区别，hasXxx会返回boolean类型的数据，用来判断，而checkXxx不会返回任何东西，

如果验证成功就继续处理下面的代码，否则会抛出一个异常UnauthorizedException

6.2 基于资源的访问控制（shiro-permission.ini|细颗粒度）

即：首先根据用户名找到角色，然后根据角色再找到权限

规则1：“用户名=密码,角色1，角色2”

规则2：“角色=权限1，权限2” ? ?

规则3：“资源标识符:操作:对象实例ID” 即对哪个资源的哪个实例可以进行什么操作

? ? ? ? ? ? ?注:每个部分可以不填写，默认就是*

? ? ? ? ? ? ?user:*:*

? ? ? ? ? ? ?tea:*:*

? ? ? ? ? ? ?stu:*:* ?

方法： isPermitted/checkPermissions ?

[users]
lhm=416,role1
ltg=121,role2
zxx=1223,role4
dj=913,role1,role2
[roles]
role1=system:*:*
role2=system:user:add,system:user:edit

[users]
lhm=416,role1
ltg=121,role2
zxx=1223,role4
dj=913,role1,role2

注1：permission：许可,权限

注2：create,update,delete,view这些是可以自行定义的

7. shiro集成web(shiro-web.ini)

7.1 配置shiro-web.ini文件

[main]
#定义身份认证失败后的请求url映射，loginUrl是身份认证过滤器中的一个属性
authc.loginUrl=/login.do
#定义角色认证失败后的请求url映射，unauthorizedUrl是角色认证过滤器中的一个属性
roles.unauthorizedUrl=/unauthorized.jsp
#定义权限认证失败后请求url映射，unauthorizedUrl是角色认证过滤器中的一个属性
perms.unauthorizedUrl=/unauthorized.jsp
[users]
lhm=416,role1
ltg=121,role2
zxx=1223,role3
dj=913,admin
[roles]
role1=user:create
role2=user:create,user:update
role3=user:create,user:update,user:delete,user:view,user:load
admin=user:*
#定义请求的地址需要做什么验证
[urls]
#请求login的时候不需要权限，游客身份即可(anon)
/login.do=anon
#请求/user/updatePwd.jsp的时候，需要身份认证(authc)
/user/updatePwd.jsp=authc
#请求/student的时候，需要角色认证，必须是拥有admin角色的用户才行
/admin/*.jsp=roles[admin]
#请求/teacher的时候，需要权限认证，必须是拥有user:create权限的角色的用户才行
/teacher=perms["user:create"]

7.2 通过监听器EnvironmentLoaderListener读取配置文件，来创建相应的WebEnvironment

注1：可通过shiroConfigLocations参数，指定shiro的配置文件

注2：shiroConfigLocations 默认是“/WEB-INF/shiro.ini”，IniWebEnvironment默认是先从/ WEB-INF/shiro.ini加载，如果没有就默认加载 classpath:shiro.ini。

7.3 配置过滤器ShiroFilter

注1：放在web.xml文件的最前面

7.4 开发中不断修改配置文件

<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xmlns="http://java.sun.com/xml/ns/javaee"
         xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
         id="WebApp_ID" version="3.0">
  <display-name>Archetype Created Web Application</display-name>
  <context-param>
    <param-name>shiroConfigLocations</param-name>
    <param-value>classpath:shiro-web.ini</param-value>
  </context-param>
  <listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
  </listener>
  <filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>
  <servlet>
    <servlet-name>loginServlet</servlet-name>
    <servlet-class>com.zking.shiro01.service.LoginServlet</servlet-class>
  </servlet>
  <servlet-mapping>
    <servlet-name>loginServlet</servlet-name>
    <url-pattern>login.do</url-pattern>
  </servlet-mapping>
  <servlet>
    <servlet-name>logoutServlet</servlet-name>
    <servlet-class>com.zking.shiro01.service.LogoutServlet</servlet-class>
  </servlet>
  <servlet-mapping>
    <servlet-name>logoutServlet</servlet-name>
    <url-pattern>logout.do</url-pattern>
  </servlet-mapping>
</web-app>

8. 其它

8.1 不足之处

1. 用户名/密码硬编码在ini配置文件，以后需要改成如数据库存储，且密码需要加密存储；

2. 用户身份Token可能不仅仅是用户名/密码，也可能还有其他的，如登录时允许用户名/邮箱/手机号同时登录。

8.2 JUnit4：Test注解的两个属性：expected和timeout

expected属性：用来指示期望抛出的异常类型，抛出指定的异常类型，则测试通过。

timeout属性：用来指示时间上限，当测试方法的时间超过这个时间值时测试就会失败（注意超时了报的是Errors，如果是值错了是Failures）

9. 配置文件

xml
properties
ini
[node]
key=value ?

Shiro框架01之什么是shiro+shiro的架构+权限认证

1. 什么是shiro

2. 在应用程序角度来观察如何使用Shiro完成工作

Subject：

SecurityManager：

SecurityManager：

Realm：

3. shiro架构

3.1 subject：

3.2 securityManager：

3.3 authenticator：

3.4 authorizer：

3.5 sessionManager：

3.6 SessionDao：

3.7 cache Manager：

3.8 realm：

3.9 cryptography：

4. Shiro身份验证(shiro.ini)

5. Shiro权限认证(支持三种方式的授权)

5.1 编程式：通过写if/else授权代码块完成

5.2 注解式：通过在执行的Java方法上放置相应的注解完成，另外，没有权限将抛出相应的异常

5.3 JSP/GSP标签：在JSP/GSP页面通过相应的标签完成

6. 授权

6.1 基于角色的访问控制（shiro-role.ini|粗颗粒度)

6.2 基于资源的访问控制（shiro-permission.ini|细颗粒度）

7. shiro集成web(shiro-web.ini)

7.1 配置shiro-web.ini文件

7.2 通过监听器EnvironmentLoaderListener读取配置文件，来创建相应的WebEnvironment

7.3 配置过滤器ShiroFilter

7.4 开发中不断修改配置文件

8. 其它

8.1 不足之处

8.2 JUnit4：Test注解的两个属性：expected和timeout

9. 配置文件

以上就是shiro权限认证的的第一次分享