shiro讲解之 多Realm 之 Authentication

ゞ 浴缸里的玫瑰 2022-06-06 03:16 329阅读 0赞

shiro讲解之 多Realm Authentication

本章节将详细讲解 Shiro 多 Realm 认证以、多 Realm 配置以及多 Realm 认证策略。

实例

首先我们以我们之前搭建的Spring + SpringMVC + Shiro 的基本框架为例子，然后进行多 Realm 配置。

  • 多Realm 的实现

    • Realms 代码
      为了直观体提现多Realm 认证策略，我们再次设定 ShiroRealm 中的认证能够顺利通过，而 MyRealm 中的不能。

      • ShiroRealm

        1. package com.shiro.example.interceptor.realm;
        3. import java.util.HashSet;
        4. import java.util.Set;
        6. import org.apache.shiro.authc.AuthenticationException;
        7. import org.apache.shiro.authc.AuthenticationInfo;
        8. import org.apache.shiro.authc.AuthenticationToken;
        9. import org.apache.shiro.authc.LockedAccountException;
        10. import org.apache.shiro.authc.SimpleAuthenticationInfo;
        11. import org.apache.shiro.authc.UnknownAccountException;
        12. import org.apache.shiro.authc.UsernamePasswordToken;
        13. import org.apache.shiro.authz.AuthorizationInfo;
        14. import org.apache.shiro.authz.SimpleAuthorizationInfo;
        15. import org.apache.shiro.crypto.hash.SimpleHash;
        16. import org.apache.shiro.realm.AuthorizingRealm;
        17. import org.apache.shiro.subject.PrincipalCollection;
        18. import org.apache.shiro.util.ByteSource;
        20. import com.shiro.example.entity.SubjectEntity;
        22. public class ShiroRealm extends AuthorizingRealm {
        24.     @Override
        25.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        26.         System.out.println("[FirstRealm] doGetAuthenticationInfo");
        28.         // 1. 把 AuthenticationToken 转换为 UsernamePasswordToken
        29.         UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        31.         // 2. 从 UsernamePasswordToken 中来获取 username
        32.         String username = upToken.getUsername();
        34.         // 3. 调用数据库的方法, 从数据库中查询 username 对应的用户记录
        35.         SubjectEntity principals = new SubjectEntity("580655386dc0bef1105a44f9dcbe4a1d3a7b0781", "Dustyone");
        37.         // 4. 若用户不存在, 则可以抛出 UnknownAccountException 异常
        38.         if ("unknown".equals(username)) {
        39.             throw new UnknownAccountException("用户不存在!");
        40.         }
        42.         // 5. 根据用户信息的情况, 决定是否需要抛出其他的 AuthenticationException 异常.
        43.         if ("monster".equals(username)) {
        44.             throw new LockedAccountException("用户被锁定");
        45.         }
        47.         // 6. 根据用户的情况, 来构建 AuthenticationInfo 对象并返回. 通常使用的实现类为:
        48.         // SimpleAuthenticationInfo
        49.         // 以下信息是从数据库中获取的.
        50.         // 1). principal: 认证的实体信息. 可以是 username, 也可以是数据表对应的用户的实体类对象.
        51.         Object principal = principals.getUsername();
        52.         // 2). credentials: 密码.
        53.         Object credentials = principals.getPassword(); // "fc1709d0a95a6be30bc5926fdb7f22f4";
        55.         // 3). realmName: 当前 realm 对象的 name. 调用父类的 getName() 方法即可
        56.         String realmName = getName();
        57.         // 4). 盐值.
        58.         ByteSource credentialsSalt = ByteSource.Util.bytes(username);
        59.         /* * SimpleAuthenticationInfo info = new * SimpleAuthenticationInfo(principal, credentials, realmName); */
        60.         SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(principal, credentials, credentialsSalt,realmName);
  1.                     return info;
  2.                 }
  6.                 // 授权会被 shiro 回调的方法
  7.                 @Override
  8.                 protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
  9.                     // 1. 从 PrincipalCollection 中来获取登录用户的信息
  10.                     Object principal = principals.getPrimaryPrincipal();
  12.                     // 2. 利用登录的用户的信息来用户当前用户的角色或权限(可能需要查询数据库)
  13.                     Set<String> roles = new HashSet<>();
  14.                     roles.add("user");
  15.                     if ("admin".equals(principal)) {
  16.                         roles.add("admin");
  17.                     }
  19.                     // 3. 创建 SimpleAuthorizationInfo, 并设置其 roles 属性.
  20.                     SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(roles);
  22.                     // 4. 返回 SimpleAuthorizationInfo 对象.
  23.                     return info;
  24.                 }
  25.             }
  26.      *  MyRealm
  28.             package com.shiro.example.interceptor.realm;
  30.             import java.util.HashSet;
  31.             import java.util.Set;
  33.             import org.apache.shiro.authc.AuthenticationException;
  34.             import org.apache.shiro.authc.AuthenticationInfo;
  35.             import org.apache.shiro.authc.AuthenticationToken;
  36.             import org.apache.shiro.authc.SimpleAuthenticationInfo;
  37.             import org.apache.shiro.authc.UsernamePasswordToken;
  38.             import org.apache.shiro.authz.AuthorizationInfo;
  39.             import org.apache.shiro.authz.SimpleAuthorizationInfo;
  40.             import org.apache.shiro.realm.AuthorizingRealm;
  41.             import org.apache.shiro.subject.PrincipalCollection;
  42.             import org.apache.shiro.util.ByteSource;
  44.             import com.shiro.example.entity.SubjectEntity;
  46.             public class MyRealm extends AuthorizingRealm {
  48.                 @Override
  49.                 protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
  50.                     System.out.println("[Second] doGetAuthenticationInfo");
  52.                     // 1. 把 AuthenticationToken 转换为 UsernamePasswordToken
  53.                     UsernamePasswordToken upToken = (UsernamePasswordToken) token;
  54.                     String username = upToken.getUsername();
  55.                     SubjectEntity principals = new SubjectEntity("580655386dc0bef1105a44f9dcbe4a1d3a7b0781", "Dustyone");
  57.                     Object principal = principals.getUsername();
  59.                     Object credentials = principals.getPassword();
  61.                     String realmName = getName();
  63.                     ByteSource credentialsSalt = ByteSource.Util.bytes(username);
  65.                     SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(principal, credentials, credentialsSalt,realmName);
  67.                     return info;
  68.                 }
  72.                 @Override
  73.                 protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
  75.                     Object principal = principals.getPrimaryPrincipal();
  77.                     Set<String> roles = new HashSet<>();
  78.                     roles.add("user");
  79.                     if ("admin".equals(principal)) {
  80.                         roles.add("admin");
  81.                     }
  83.                     SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(roles);
  85.                     return info;
  86.                 }
  87.             }
  89.         多Realm 认证的差异性体现在 Realm 在SpringContext中的配置，即一下配置。
  90.  *  设置多个 Realm Bean
  92.      *  ShiroRealm
  94.             <bean id="shiroRealm" class="com.shiro.example.interceptor.realm.ShiroRealm">
  95.             <property name="credentialsMatcher">
  96.                 <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
  97.                     <property name="hashAlgorithmName" value="SHA-1"></property>
  98.                     <property name="hashIterations" value="1024"></property>
  99.                 </bean>
  100.             </property>
  101.             </bean>
  102.      *  MyRealm
  104.             <bean id="myRealm" class="com.shiro.example.interceptor.realm.MyRealm">
  105.             <property name="credentialsMatcher">
  106.                 <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
  107.                     <property name="hashAlgorithmName" value="MD5"></property>
  108.                     <property name="hashIterations" value="100"></property>
  109.                 </bean>
  110.             </property>
  111.             </bean>
  112.  *  设置 多Realm 认证策略
  114.         <!-- 多Realm认证策略 -->
  115.         <bean id="authenticator" class="org.apache.shiro.authc.pam.ModularRealmAuthenticator">
  116.         <property name="authenticationStrategy">
  117.             <!-- 多个Reaml认证中有一个认证成功即成功策略 -->
  118.             <bean class="org.apache.shiro.authc.pam.AtLeastOneSuccessfulStrategy"></bean>
  119.             <!-- 第一个Reaml认证策略 -->
  120.             <!-- <bean class="org.apache.shiro.authc.pam.FirstSuccessfulStrategy"></bean> --> 
  121.             <!-- 必须所有Reaml都成功认证策略 -->
  122.             <!-- <bean class="org.apache.shiro.authc.pam.AllSuccessfulStrategy"></bean> -->
  123.         </property>
  124.         </bean>
  125.  *  将 Realm 和多认证策略 Bean 交由SecurityManager 统一管理
  127.         <!-- 1.配置SecurityManager -->
  128.         <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
  129.             <property name="cacheManager" ref="cacheManager" />
  130.             <!-- Shiro 多Realm认证策略 -->
  131.             <property name="authenticator" ref="authenticator"></property>
  132.             <!-- 多Realm Bean 引用 -->
  133.             <property name="realms">
  134.                 <list>
  135.                     <ref bean="shiroRealm"></ref>
  136.                     <ref bean="myRealm"></ref>
  137.                 </list>
  138.             </property>
  139.         </bean>

  • 结果

    这里写图片描述

    这里写图片描述

    这里写图片描述

多 Realm 认证策略

在我们的Application 中 如果我们使用的是Realm，那么一般而言 SecurityManager 继承了 Authenticator(Shiro API 中身份验证核心的入口点)。

如果使用的是多 Realm的话 一般继承 ModularRealmAuthenticator 即 SecurityManager 的身份认证将交由指定的多个 Realm 去实现，此时默认实现 AuthenticationStrategy(默认的认证策略，我们也可以自定义认证策略，自定义方式参考上文。) 接口。那么下面我们将详细了解下 Shiro 的多 Realm 认证策略。

  • FirstSuccessfulStrategy
    只要有一个 Realm 验证成功即可，只返回第一个 Realm 身份验证成功的认证信息，其他的忽略
  • AtLeastOneSuccessfulStrategy
    只要有一个Realm验证成功即可，和FirstSuccessfulStrategy 不同，将返回所有Realm身份验证成功的认证信息；
  • AllSuccessfulStrategy
    所有Realm验证成功才算成功，且返回所有Realm身份验证成功的认证信息，如果有一个失败就失败了

ModularRealmAuthenticator 默认是 AtLeastOneSuccessfulStrategy 策略

下图为 Shiro 的 Realm、SecurityManager、Authenticator以及认证策略之间的关系

这里写图片描述

小结

  • Shiro 中多 Realm 的配置和实现，以本章实例为例 需在Spring的 Context中配置

    • Realm 的配置
    • 多Realm 的认证策略
    • 多Realm 和 多 Realm 认证策略统一交由 SecurityManager 管理。
  • 理解 Realm、SecurityManager、Authenticator以及认证策略之间的关系 以便我们在设计多 Realm的时候能很好地实现我们的需求。
  • 使用多 Realm 做认证时 realm 被执行的顺序与Spring Context 配置有关。顺序执行。

发表评论

表情：
评论列表 （有 0 条评论，329人围观）

还没有评论，来说两句吧...

相关阅读