SpringBoot集成Shiro实现认证和授权

一、概念篇

（一）关于Shiro

关于Shiro的了解，推荐一门课程：Shiro知识精讲，和一篇文章：https://zhuanlan.zhihu.com/p/54176956

Shiro由三大部分组成，分别是Subject, SecurityManager 和 Realms.

Subject：当前用户，Subject 可以是一个人，但也可以是第三方服务、守护进程帐户、时钟守护任务或者其它–当前和软件交互的任何事件。

SecurityManager：管理所有Subject，SecurityManager 是 Shiro 架构的核心，配合内部安全组件共同组成安全伞。Subject代表了当前用户的安全操作，SecurityManager则管理所有用户的安全操作。其中，Authenticator完成认证，Authorizer则用于授权。

Realms：用于进行权限信息的验证，我们自己实现。Realm 本质上是一个特定的安全 DAO：它封装与数据源连接的细节，得到Shiro 所需的相关的数据。在配置 Shiro 的时候，你必须指定至少一个Realm 来实现认证（authentication）和/或授权（authorization）。

（二）SpringBoot中使用Shiro实现自定义的授权与认证

在SpringBoot中使用Shiro主要包括四个部分，如下图所示。

• ShiroConfig： 将OAuth2Filter和OAuth2Realm配置应用到Shiro框架
• AuthenticatingFilter：拦截HTTP请求，对请求进行放行和其他处理
• AnthenrizingRealm：实现具体的授权和认证的业务逻辑
• AnthenticationToken：通过JwtUtil类可以生成Token，这个Token我们是要返回给客户端的。客户端提交的Token不能直接交给Shiro框架，需要先封装成AuthenticationToken类型的对象，所以我们我们需要先创建AuthenticationToken的实现类。

二、源码篇

以下源代码是在SpringBoot即成Shrio + JWT的实践。关于JWT的部分可以参考https://blog.youkuaiyun.com/loongkingwhat/article/details/119322423。

（一）依赖库

<dependency>
	<groupId>org.apache.shiro</groupId>
	<artifactId>shiro-web</artifactId>
	<version>1.5.3</version>
</dependency>
<dependency>
	<groupId>org.apache.shiro</groupId>
	<artifactId>shiro-spring</artifactId>
	<version>1.5.3</version>
</dependency>
<dependency>
	<groupId>com.auth0</groupId>
	<artifactId>java-jwt</artifactId>
	<version>3.10.3</version>
</dependency>
<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-configuration-processor</artifactId>
	<optional>true</optional>
</dependency>
<dependency>
	<groupId>org.apache.commons</groupId>
	<artifactId>commons-lang3</artifactId>
	<version>3.11</version>
</dependency>
<dependency>
	<groupId>org.apache.httpcomponents</groupId>
	<artifactId>httpcore</artifactId>
	<version>4.4.13</version>
</dependency>
<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-aop</artifactId>
</dependency>

（二）封装AuthenticationToken类型

String类型的token在Shiro中无法直接使用，必须封装成为Shiro框架可识别和处理的AuthenticationToken类型。

package com.example.demo.config.shiro;

import org.apache.shiro.authc.AuthenticationToken;

public class OAuth2Token implements AuthenticationToken {
   
    private String token;

    public OAuth2Token(String token){
   
        this.token = token;
    }

    @Override
    public Object getPrincipal() {
   
        return token;
    }

    @Override
    public Object getCredentials() {
   
        return token;
    }
}

（三）创建自定义Filter类

package com.example.emos.wx.config.shiro;

import com.auth0.jwt.exceptions.JWTDecodeException;
import com.auth0.jwt.<