<think>我们参考了用户提供的引用内容，特别是引用[3]和引用[4]中关于
使用shiro-spring
-boot
-web
-starter的配置方法。
用户需求：在Spring Boot项目中
整合Shiro并
使用shiro-spring
-boot
-starter进行自动配置。
步骤：
1.
创建Spring Boot项目并添加依赖。
2. 配置
Shiro的核心组件（如
Realm、SecurityManager等）。
3. 配置
Shiro的过滤器链（用于定义URL的拦截规则）。
4. 编写自定义
Realm实现认证和授权逻辑。
由于
使用shiro-spring
-boot
-starter，很多配置可以自动化，但我们仍然需要提供一些自定义的Bean。
注意：在Spring Boot中，
使用starter后，
Shiro的自动配置会生效，但我们需要自定义
Realm和SecurityManager的配置。
具体步骤：</think>### Spring Boot
整合Shiro自动配置指南
使用`
shiro-spring
-boot
-starter`可简化
Shiro集成流程，以下是详细步骤：
#### 1. **添加依赖**
在`pom.xml`中引入starter：
```xml
<dependency>
<groupId>org.apache.
shiro</groupId>
<artifactId>
shiro-spring
-boot
-web
-starter</artifactId>
<version>1.11.0</version> <!
-- 使用最新稳定版
-->
</dependency>
```
#### 2. **配置核心组件**
创建`
ShiroConfig.java`配置类：
```java
@Configuration
public class
ShiroConfig {
// 自定义
Realm（负责认证和授权逻辑）
@Bean
public Jwt
Realm jwt
Realm() {
return new Jwt
Realm(); // 需实现
Realm接口
}
// 安全管理器（自动
注入自定义
Realm）
@Bean
public SecurityManager securityManager(Jwt
Realm jwt
Realm) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager.set
Realm(jwt
Realm);
return securityManager;
}
// 过滤器链（定义URL拦截规则）
@Bean
public
ShiroFilterChainDefinition
shiroFilterChainDefinition() {
Default
ShiroFilterChainDefinition chain = new Default
ShiroFilterChainDefinition();
chain.addPathDefinition("/login", "anon"); // 匿名访问
chain.addPathDefinition("/admin/**", "authc, roles[admin]"); // 需认证且角色为admin
chain.addPathDefinition("/**", "authc"); // 其他路径需认证
return chain;
}
}
```
#### 3. **实现自定义
Realm**
继承`Authorizing
Realm`，重写认证/授权方法：
```java
public class Jwt
Realm extends Authorizing
Realm {
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) {
// 1. 将token转换为JwtToken
// 2. 验证令牌有效性（如过期时间、签名）
// 3. 查询数据库验证用户合法性
return new SimpleAuthenticationInfo(user, credentials, getName());
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
// 1. 从principals获取用户身份
// 2. 查询数据库获取用户角色/权限
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.addRole("admin"); // 添加角色
info.addStringPermission("user:delete"); // 添加权限
return info;
}
}
```
#### 4. **配置JWT支持（可选）**
若
使用JWT认证，需自定义Token和过滤器：
```java
public class JwtToken implements AuthenticationToken {
private String token;
// 实现getPrincipal()和getCredentials()
}
public class JwtFilter extends AuthenticatingFilter {
// 重写登录逻辑，从HTTP头解析JWT
}
```
#### 关键配置说明
- **自动生效机制**：Starter会自动注册`
ShiroFilterFactoryBean`，无需手动绑定[^3]
- **注解支持**：直接在Controller方法
使用`@RequiresRoles("admin")`进行权限控制
- **会话管理**：默认启用`SessionManager`，可通过`
shiro.sessionManager`配置参数调整
#### 验证
整合结果
- 访问受限接口（如`/admin`）应跳转至登录页
- 成功登录后，具有权限的接口返回正常数据
- 权限不足时返回`403 Forbidden`
> **注意**：Starter已处理
Shiro生命周期与Spring容器的集成，无需额外配置[^4]。若需覆盖默认配置（如缓存策略），可在`application.yml`中添加`
shiro.*`参数。
扫一扫
2163
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
