<think>我们参考了用户提供的引用内容，特别是引用[3]和引用[4]中关于使用
shiro-spring
-boot
-web
-starter的
配置方法。
用户需求：在Spring Boot项目中整合
Shiro并使用
shiro-spring
-boot
-starter进行自动
配置。
步骤：
1
. 创建Spring Boot项目并添加依赖。
2
. 配置Shiro的核心组件（如Realm、SecurityManager等）。
3
. 配置Shiro的过滤器链（用于定义URL的拦截规则）。
4
. 编写自定义Realm实现认证和授权逻辑。
由于使用
shiro-spring
-boot
-starter，很多
配置可以自动化，但我们仍然需要提供一些自定义的Bean。
注意：在Spring Boot中，使用starter后，
Shiro的自动
配置会生效，但我们需要自定义Realm和SecurityManager的
配置。
具体步骤：</think>### Spring Boot整合
Shiro自动
配置指南
使用`
shiro-spring
-boot
-starter`可简化
Shiro集成流程，以下是详细步骤：
#### 1
. **添加依赖**
在`pom
.xml`中引入starter：
```xml
<dependency>
<groupId>org
.apache
.shiro</groupId>
<artifactId>
shiro-spring
-boot
-web
-starter</artifactId>
<version>1
.11
.0</version> <!
-- 使用最新稳定版
-->
</dependency>
```
#### 2
. **
配置核心组件**
创建`
ShiroConfig
.java`
配置类：
```java
@Configuration
public class
ShiroConfig {
// 自定义Realm（负责认证和授权逻辑）
@Bean
public JwtRealm jwtRealm() {
return new JwtRealm(); // 需实现Realm接口
}
// 安全管理器（自动注入自定义Realm）
@Bean
public SecurityManager securityManager(JwtRealm jwtRealm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager
.setRealm(jwtRealm);
return securityManager;
}
// 过滤器链（定义URL拦截规则）
@Bean
public
ShiroFilterChainDefinition
shiroFilterChainDefinition() {
Default
ShiroFilterChainDefinition chain = new Default
ShiroFilterChainDefinition();
chain
.addPathDefinition("/login", "anon"); // 匿名访问
chain
.addPathDefinition("/admin/**", "authc, roles[admin]"); // 需认证且角色为admin
chain
.addPathDefinition("/**", "authc"); // 其他路径需认证
return chain;
}
}
```
#### 3
. **实现自定义Realm**
继承`AuthorizingRealm`，重写认证/授权方法：
```java
public class JwtRealm extends AuthorizingRealm {
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) {
// 1
. 将token转换为JwtToken
// 2
. 验证令牌有效性（如过期时间、签名）
// 3
. 查询数据库验证用户合法性
return new SimpleAuthenticationInfo(user, credentials, getName());
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
// 1
. 从principals获取用户身份
// 2
. 查询数据库获取用户角色/权限
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info
.addRole("admin"); // 添加角色
info
.addStringPermission("user:delete"); // 添加权限
return info;
}
}
```
#### 4
. **
配置JWT支持（可选）**
若使用JWT认证，需自定义Token和过滤器：
```java
public class JwtToken implements AuthenticationToken {
private String token;
// 实现getPrincipal()和getCredentials()
}
public class JwtFilter extends AuthenticatingFilter {
// 重写登录逻辑，从HTTP头解析JWT
}
```
#### 关键
配置说明
- **自动生效机制**：Starter会自动注册`
ShiroFilterFactoryBean`，无需手动绑定[^3]
- **注解支持**：直接在Controller方法使用`@RequiresRoles("admin")`进行权限控制
- **会话管理**：默认启用`SessionManager`，可通过`
shiro.sessionManager`
配置参数调整
#### 验证整合结果
- 访问受限接口（如`/admin`）应跳转至登录页
- 成功登录后，具有权限的接口返回正常数据
- 权限不足时返回`403 Forbidden`
> **注意**：Starter已处理
Shiro生命周期与Spring容器的集成，无需额外
配置[^4]。若需覆盖默认
配置（如缓存策略），可在`application
.yml`中添加`
shiro.*`参数。
本文详细解析了Shiro框架中的权限配置方法，包括URL匹配模式、权限匹配顺序及过滤器意义，阐述了如何通过配置实现不同级别的访问控制。
扫一扫
915
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
