shiro权限框架的应用（认证(登录)、授权、加密、会话管理、与Web 集成、缓存等。）

ゝ一世哀愁。 2023-10-08 12:38 85阅读 0赞

### 一，shiro概念 ###

1，Apache Shiro 是 Java 的一个安全（权限）框架。  
2，Shiro 可以非常容易的开发出足够好的应用，其不仅可以用在  
JavaSE 环境，也可以用在 JavaEE 环境。  
3，Shiro 可以完成：认证(登录)、授权、加密、会话管理、与Web 集成、缓存

**核心业务**

> Authentication：身份认证/登录，验证用户是不是拥有相应的身份；  
> • Authorization：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用  
> 户是否能进行什么操作，如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户  
> 对某个资源是否具有某个权限；  
> • Session Manager：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有  
> 信息都在会话中；会话可以是普通 JavaSE 环境，也可以是 Web 环境的；  
> • Cryptography：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；  
> • Remember Me：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登  
> 录了
> 
> • Web Support：Web 支持，可以非常容易的集成到Web 环境；  
> • Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可  
> 以提高效率；  
> • Concurrency：Shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能  
> • 把权限自动传播过去；  
> • Testing：提供测试支持；  
> • Run As：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；

### 二，集成Spring应用（自动登录，会话管理，权限管理） ###

**pom.xml**

<dependencies>
            <dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-all</artifactId>
                <version>1.4.0</version>
                <type>pom</type>
            </dependency>
            <dependency>
                <groupId>org.slf4j</groupId>
                <artifactId>slf4j-api</artifactId>
                <version>1.7.12</version>
            </dependency>
            <dependency>
                <groupId>org.slf4j</groupId>
                <artifactId>slf4j-log4j12</artifactId>
                <version>1.7.12</version>
            </dependency>
            <dependency>
                <groupId>log4j</groupId>
                <artifactId>log4j</artifactId>
                <version>1.2.16</version>
            </dependency>
            <dependency>
                <groupId>commons-logging</groupId>
                <artifactId>commons-logging</artifactId>
                <version>1.2</version>
            </dependency>
            
            <dependency>
                <groupId>org.springframework</groupId>
                <artifactId>spring-webmvc</artifactId>
                <version>4.3.5.RELEASE</version>
            </dependency>
            <dependency>
                <groupId>com.fasterxml.jackson.core</groupId>
                <artifactId>jackson-databind</artifactId>
                <version>2.9.8</version>
            </dependency>
        </dependencies>

**web.xml**

<filter>
            <filter-name>shiroFilter</filter-name>
            <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        </filter>
        <filter-mapping>
            <filter-name>shiroFilter</filter-name>
            <url-pattern>/*</url-pattern>
        </filter-mapping>

**applicationContext-shiro.xml**

<?xml version="1.0" encoding="UTF-8"?>
    <beans xmlns="http://www.springframework.org/schema/beans"
           xmlns:context="http://www.springframework.org/schema/context"
           xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
           xsi:schemaLocation="http://www.springframework.org/schema/beans
            http://www.springframework.org/schema/beans/spring-beans.xsd
            http://www.springframework.org/schema/context
            http://www.springframework.org/schema/context/spring-context.xsd">
    
         
        
        <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            
            <property name="realm" ref="myRealm"></property>
        </bean>
        
        <bean id="myRealm" class="com.itqf.realm.UsersRealm"></bean>
    
        
           <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
            
            <property name="loginUrl" value="/login.jsp"></property>
            
            <property name="successUrl" value="/index.jsp"></property>
            
            <property name="unauthorizedUrl" value="/unauthorized.jsp"></property>
    
            
            <property name="securityManager" ref="securityManager"></property>
    
            
            <property name="filterChainDefinitions">
                <value>
    
                    /static/** = anon
                    /login = anon
                    #其他请求都需要认证后才能访问
                    /** = authc
                </value>
            </property>
        </bean>
    
    </beans>      
    
    部分细节
    shiroFilter
    • [urls] 部分的配置，其格式是： “url=拦截器[参数]，拦截器[参数]”；
    • 如果当前请求的 url 匹配 [urls] 部分的某个 url 模式，将会执行其配置的拦截器。
    • anon（anonymous） 拦截器表示匿名访问（即不需要登录即可访问）
    • authc （authentication）拦截器表示需要身份认证通过后才能访问

**自定义realm的编写**

public class UsersRealm  extends AuthorizingRealm {
        
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        
            System.out.println("-------->授权");
            return null;
        }
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        
            System.out.println("-------->认证（登录）");
            return null;
        }
    }

**加密**

shiro支持hash(散列)加密，常见的如：md5，sha等

明文加密，有可能因为明文比较简单，导致被破解。

所有，我们推荐使用加盐加密+多次迭代加密

迭代次数为2，则加密2次：md5(明文+salt)=密文a

md5(密文a+salt)=最终密文

Md5Hash md5Hash = new Md5Hash("admin",salt,1000);
     Sha1Hash sha1Hash = new Sha1Hash("admin",salt,1024);
     Sha256Hash sha256Hash = new Sha256Hash("admin",salt,1000);

**记住用户名密码以便实现自动登录（cookie原理）**

UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken("admin",md5Hash.toString());
            usernamePasswordToken.setRememberMe(true);

**自定义cookie**

<bean id="rememberCookie" class="org.apache.shiro.web.servlet.SimpleCookie">
            <property name="name" value="rememberMe"></property>
            <property name="maxAge" value="2592000"></property>
        </bean>
        <bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">
            <property name="cookie" ref="rememberCookie"></property>
        </bean>
         
        
        <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
            
            <property name="realm" ref="myRealm"></property>
            <property name="rememberMeManager" ref="rememberMeManager"></property>
        </bean>

**session会话管理**

### 收藏加关注，再来不迷路！！！ ###