本文详细介绍了Apache Shiro权限认证框架的应用，包括权限、角色、用户的管理，编程式及注解式授权方式，并展示了如何在Java Web环境中集成Shiro进行权限验证。
一、权限认证核心要素
权限认证顾名思义，就是在应用系统中，控制谁能访问哪些资源。核心要素有仨：权限、角色、用户
权限：即操作资源的权利，如访问某个url，对某个模块数据进行增删改查
角色：权限的集合，一种角色可以包含多种权限。例如操作员角色可查看系统账单、进行结账操作多种权限。
用户：也就是身份认证中提到的subject一角。
二、授权
shiro授权的方式通常有三种：
1、编程式授权：在代码中进行授权操作，可基于角色和权限两种方式。
2、注解式授权：使用注解对方法或类进行授权，标注该类可被哪些权限、角色所使用。
3、Jsp标签授权：shiro比较灵活的地方笔者觉得就是jsp标签授权，通过shiro的guest、user、principal等标签，可通过访问权限的不同，控制页面信息显示。免去了一大部分后台处理逻辑。好方便，好好用。后面会有详细介绍。
三、编程式授权实例
1、同样首先创建ini文件
[users]
java1234=123456,role1,role2
jack=123,role1这是一个通过角色授权的方式，具体含义是指：用户名为java1234的用户享有role1，role2角色的权利，jack用户享有role1的权利。
2、java代码通过hasRole 和checkRole的方法可判断某用户是否具有role1、role2角色权利。
这里首先将一些shiro初始化、预处理的操作封装成一个util类
public class ShiroUtil {
public static Subject login(String configFile,String userName,String password){
// 读取配置文件，初始化SecurityManager工厂
Factory<SecurityManager> factory=new IniSecurityManagerFactory(configFile);
// 获取securityManager实例
SecurityManager securityManager=factory.getInstance();
// 把securityManager实例绑定到SecurityUtils
SecurityUtils.setSecurityManager(securityManager);
// 得到当前执行的用户
Subject currentUser=SecurityUtils.getSubject();
// 创建token令牌，用户名/密码
UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
try{
// 身份认证
currentUser.login(token);
System.out.println("身份认证成功！");
}catch(AuthenticationException e){
e.printStackTrace();
System.out.println("身份认证失败！");
}
return currentUser;
}
}public class RoleTest {
@Test
public void testHasRole() {
Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "jack", "123");
System.out.println(currentUser.hasRole("role1")?"有role1这个角色":"没有role1这个角色");
boolean []results=currentUser.hasRoles(Arrays.asList("role1","role2","role3"));
System.out.println(results[0]?"有role1这个角色":"没有role1这个角色");
System.out.println(results[1]?"有role2这个角色":"没有role2这个角色");
System.out.println(results[2]?"有role3这个角色":"没有role3这个角色");
System.out.println(currentUser.hasAllRoles(Arrays.asList("role1","role2"))?"role1,role2这两个角色都有":"role1,role2这个两个角色不全有");
currentUser.logout();
}
@Test
public void testCheckRole() {
Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "jack", "123");
currentUser.checkRole("role1");
currentUser.checkRoles(Arrays.asList("role1","role2"));
currentUser.checkRoles("role1","role2","role3");
currentUser.logout();
}
}通过权限permission的权限验证方式如下：
[users]
java1234=123456,role1,role2
jack=123,role1
[roles]
role1=user:select
role2=user:add,user:update,user:delete这里就补充了role1、role2用户具体具有哪些操作权，role1可进行select操作，同理，role2可进行增删改操作。同样调用user关于permission认证的方法，可对用户具体操作权限进行认证。
public class PermissionTest {
@Test
public void testIsPermitted() {
Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "jack", "123");
System.out.println(currentUser.isPermitted("user:select")?"有user:select这个权限":"没有user:select这个权限");
System.out.println(currentUser.isPermitted("user:update")?"有user:update这个权限":"没有user:update这个权限");
boolean results[]=currentUser.isPermitted("user:select","user:update","user:delete");
System.out.println(results[0]?"有user:select这个权限":"没有user:select这个权限");
System.out.println(results[1]?"有user:update这个权限":"没有user:update这个权限");
System.out.println(results[2]?"有user:delete这个权限":"没有user:delete这个权限");
System.out.println(currentUser.isPermittedAll("user:select","user:update")?"有user:select,update这两个权限":"user:select,update这两个权限不全有");
currentUser.logout();
}
@Test
public void testCheckPermitted() {
Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "jack", "123");
currentUser.checkPermission("user:select");
currentUser.checkPermissions("user:select","user:update","user:delete");
currentUser.logout();
}
}四、shiro与web集成进行权限认证
下面介绍在java web程序中使用 Shiro进行权限认证。
-
首先也是添加shiro相关jar包：shiro-web、shiro-core；commons-logging、slf4j-api、log4j；jstl、javax.servlet.jsp-api、javax.servlet-api
-
在web.XML中添加shiroFilter过滤器，并初始化创建的shiro.ini配置文件。
<listener>
<listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>
<!-- 添加shiro支持 -->
<filter>
<filter-name>ShiroFilter</filter-name>
<filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>ShiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<!--省略loginServlet 和adminServlet配置ps.login 针对所有的/login请求，admin针对/admin-->shiro.ini文件
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized.jsp
perms.unauthorizedUrl=/unauthorized.jsp
[users]
java1234=123456,admin
jack=123,teacher
marry=234
json=345
[roles]
admin=user:*
teacher=student:*
[urls]
/login=anon
/admin=authc
/student=roles[teacher]
/teacher=perms["user:create"]3.创建login和adminservlet，分别用于直接登陆转发到login.jsp,和admin登录进行身份验证，转发到succeess.jsp和error.jsp
public class LoginServlet extends HttpServlet{
private static final long serialVersionUID = 1L;
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
System.out.println("login doget");
req.getRequestDispatcher("login.jsp").forward(req, resp);
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
System.out.println("login dopost");
String userName=req.getParameter("userName");
String password=req.getParameter("password");
Subject subject=SecurityUtils.getSubject();
UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
try{
subject.login(token);
resp.sendRedirect("success.jsp");
}catch(Exception e){
e.printStackTrace();
req.setAttribute("errorInfo", "用户名或者密码错误");
req.getRequestDispatcher("login.jsp").forward(req, resp);
}
}
}4.配置数据源-这里介绍两种reaml：Text Reaml和自定义JDBC reaml 。
Text Reaml 配置详情与访问流程
text Reaml配置整合到Shiro.ini文件中，具体配置了四个用户，java1234拥有admin角色权限，jack拥有teacher角色权限；角色admin可对user进行任意crud操作，teacher可对student进行crud操作；访问的urls，请求/login地址时，这里的anon是指游客身份，不需要进行任何身份认证；请求/admin地址时，需要进行身份认证，进行filter过滤后，跳转到【main】中进行了配置为/login (jsp页面），同样，role和perms的权限认证页设置为unauthorized.jsp；
上面ini配置达到的效果就是：当请求访问localhost:8080/shiro/login 时直接跳到hello页面，无需进行身份验证。当访问localhost:8080/shiro/admin时，先转发到login.jps进行身份验证，进入adminServlet，验证结束后转发到error或succeess页面。再次访问admin地址时，由于第一次访问记录了用户登录信息，故无需在登陆直接跳转到success页面。而访问localhost:8080/shiro/student时，login信息如果使用json（没有任何角色权限的用户），则因为该用户权限不足（因为配置中访问student需要teacher角色）直接跳转到无权限访问页面。这就是使用 textReaml进行身份验证和权限验证的配置。
自定义 JDBC Reaml的配置与访问流程
由于text Reaml的信息毕竟有限，配置也相对比较麻烦，所以一般应用程序使用的都是自定义reaml，此处创建一个自定义JDBC readml并演示reaml与java程序结合的流程。
由于需要创建数据库（创建用户、角色、权限三张表，依次主外键关联），然后首先引入数据库驱动jar包；在shiro,ini文件中指定当前securityManager使用的验证策略是自定义jdbcReaml。
[main]
authc.loginUrl=/login
roles.unauthorizedUrl=/unauthorized.jsp
perms.unauthorizedUrl=/unauthorized.jsp
myRealm=com.java.realm.MyRealm
securityManager.realms=$myRealm
[urls]
/login=anon
/admin*=authc
/student=roles[teacher]
/teacher=perms["user:create"]
/**
* 数据库工具类
* @author
*/
public class DbUtil {
public Connection getCon() throws Exception{
Class.forName("com.mysql.jdbc.Driver");
Connection con=DriverManager.getConnection("jdbc:mysql://localhost:3306/db_shiro", "root", "123456");
return con;
}
public void closeCon(Connection con)throws Exception{
if(con!=null){
con.close();
}
}
public static void main(String[] args) {
DbUtil dbUtil=new DbUtil();
try {
dbUtil.getCon();
System.out.println("数据库连接成功");
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
System.out.println("数据库连接失败");
}
}
}
public class MyRealm extends AuthorizingRealm{
private UserDao userDao=new UserDao();
private DbUtil dbUtil=new DbUtil();
/**
* 为当前登录的用户授予角色和权限
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
String userName=(String)principals.getPrimaryPrincipal();
SimpleAuthorizationInfo authorizationInfo=new SimpleAuthorizationInfo();
Connection con=null;
try{
con=dbUtil.getCon();
authorizationInfo.setRoles(userDao.getRoles(con,userName));
authorizationInfo.setStringPermissions(userDao.getPermissions(con,userName));
}catch(Exception e){
e.printStackTrace();
}finally{
try {
dbUtil.closeCon(con);
} catch (Exception e) {
e.printStackTrace();
}
}
return authorizationInfo;
}
/**
* 验证当前登录的用户
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
String userName=(String)token.getPrincipal();
Connection con=null;
try{
con=dbUtil.getCon();
User user=userDao.getByUserName(con, userName);
if(user!=null){
AuthenticationInfo authcInfo=new SimpleAuthenticationInfo(user.getUserName(),user.getPassword(),"xx");
return authcInfo;
}else{
return null;
}
}catch(Exception e){
e.printStackTrace();
}finally{
try {
dbUtil.closeCon(con);
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
return null;
}
}这两个方法分别封装了一个身份信息实体类AuthenticationInfo 和AuthorizetionInfo返回。
首先获取用户信息，根据用户名查询数据库中的用户、权限等其他信息验证即可。整体流程是当浏览器访问例如：localhost:8080/shiro/admin 地址时，先调用loginServlet，在执行user.login方法时，进入自定义MyReaml类，获取用户信息，进行身份验证。
扫一扫
911
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
