Shiro密码比对、CrendentialsMatcher组件作用

蔚落 2024-04-18 09:01 23阅读 0赞

认证需要的Realm类，该Realm类继承了AuthenticatingRealm父类，实现了doGetAuthenticationInfo方法，在doGetAuthenticationInfo方法中获取用户的账号密码，在做完一些校验后，传递给了SimpleAuthenticationInfo，并返回出去：

package com.test.shiro.realms;
    import java.util.HashMap;
    import java.util.Map;
    import org.apache.shiro.authc.AuthenticationException;
    import org.apache.shiro.authc.AuthenticationInfo;
    import org.apache.shiro.authc.AuthenticationToken;
    import org.apache.shiro.authc.LockedAccountException;
    import org.apache.shiro.authc.SimpleAuthenticationInfo;
    import org.apache.shiro.authc.UnknownAccountException;
    import org.apache.shiro.authc.UsernamePasswordToken;
    import org.apache.shiro.realm.AuthenticatingRealm;
    import com.test.shiro.po.User;
    public class ShiroRealm extends AuthenticatingRealm{
    	
    	private static Map<String,User> userMap = new HashMap<String,User>();
    	static{
                    //使用Map模拟数据库获取User表信息
    		userMap.put("jack", new User("jack","aaa123",false));
    		userMap.put("tom", new User("tom","bbb321",false));
    		userMap.put("jean", new User("jean","ccc213",true));
    	}
     
     
    	@Override
    	protected AuthenticationInfo doGetAuthenticationInfo(
    			AuthenticationToken token) throws AuthenticationException {
    		//1.把AuthenticationToken转换为UsernamePasswordToken
    		UsernamePasswordToken userToken = (UsernamePasswordToken) token;
    		
    		//2.从UsernamePasswordToken中获取username
    		String username = userToken.getUsername();
    		
    		//3.调用数据库的方法，从数据库中查询Username对应的用户记录
    		System.out.println("从数据看中获取UserName为"+username+"所对应的信息。");
    		//Map模拟数据库取数据
    		User u = userMap.get(username);
    		
    		//4.若用户不行存在，可以抛出UnknownAccountException
    		if(u==null){
    			throw new UnknownAccountException("用户不存在");
    		}
    		
    		//5.若用户被锁定，可以抛出LockedAccountException
    		if(u.isLocked()){
    			throw new LockedAccountException("用户被锁定");
    		}
    		
    		//6.根据用户的情况，来构建AuthenticationInfo对象,通常使用的实现类为SimpleAuthenticationInfo
    		//以下信息是从数据库中获取的
    		//1)principal：认证的实体信息，可以是username，也可以是数据库表对应的用户的实体对象
    		Object principal = u.getUsername();
    		//2)credentials：密码
    		Object credentials = u.getPassword();
    		//3)realmName：当前realm对象的name，调用父类的getName()方法即可
    		String realmName = getName();
    		
    		SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(principal,credentials,realmName);
    		
    		return info;
    	}
    }

可以看到，代码中并没有账号密码的校验，那么Subject对象是如何通过Realm返回的AuthenticationInfo对象来进行账号密码比对的呢？

通过上面的登录流程我们可以知道，目前有两个对象是保存有用户的账号和密码信息的，一个是封装了前台用户在form表单中填写的账号密码信息的UsernamePasswordToken，一个是封装了从数据库取出的对应账号的账号密码信息的SimpleAuthenticationInfo对象。我们可以推测出，Shiro的密码比对一定是通过这两个对象进行比较的，那么Shiro是什么时候进行密码比对的呢？

其实并不难知道Shiro的校验位置，因为在Shiro进行密码比对时，一定会去拿UsernamePasswordToken和SimpleAuthenticationInfo中封装的密码信息，那么此时要调用UsernamePasswordToken的getPassword方法，或者调用SimpleAuthenticationInfo的getCredentials方法。既然这样，可以关联UsernamePasswordToken的源代码，然后找到其getPassword方法，在该处打断点：

![Center][]

这样我们重新运行校验实例程序的时候，就可以发现校验的时机了。我们在前台输入账号密码点击登录：

![Center 1][]

然后发现断点停止了，查看Debug的视窗，看一下在获取密码之前的操作是什么：

![Center 2][]

看到前四步的SimpleCredentialsMatcher有一个doCredentialsMatch方法，在该方法中就进行了密码比对工作：

public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
         Object tokenCredentials = getCredentials(token);
         Object accountCredentials = getCredentials(info);
         return equals(tokenCredentials, accountCredentials);
    }

还可以看到，是我们自定义的ShiroRealm(AuthenticatingRealm为父类)执行的assertCredentialsMatch方法调用的该doCredentialsMatch方法进行密码比对：

protected void assertCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) throws AuthenticationException {
        CredentialsMatcher cm = getCredentialsMatcher();
        if (cm != null) {
            if (!cm.doCredentialsMatch(token, info)) {
    		//not successful - throw an exception to indicate this:
    		String msg = "Submitted credentials for token [" + token + "] did not match the expected credentials.";
    		throw new IncorrectCredentialsException(msg);
    	}
        } else {
            throw new AuthenticationException("A CredentialsMatcher must be configured in order to verify " +
    	"credentials during authentication.  If you do not wish for credentials to be examined, you " +
    	"can configure an " + AllowAllCredentialsMatcher.class.getName() + " instance.");
        }
    }

总结：密码的具体比的工作是我们自定义的继承了AuthenticatingRealm父类的自定义Realm类调用CredentialsMatcher的doCredentialsMatch方法完成的。

### **CrendentialsMatcher**组件（凭证匹配器）作用 ###

1，用来进行密码比对。

2，用来对密码进行加密。

3，shiro提供了该组件接口的很多实现类，用于不同类型的密码加密。常用的加密实现类为：**HashedCrendentialsMatcher**。

4，替换当前 Realm 的 crendentialsMatcher 属性，直接使用 HasedCrendentialsMatcher 对象，并设置加密算法即可。

### 总结 ###

1.  通过 **AuthenticatingRealm 的 CrendentialsMatcher 属性来进行的密码的比对**。
2.  指定具体的 CrendentialsMatcher 接口的实现类来**设置加密算法，盐值和循环加密次数**。
3.  如果两个用户拥有相同的原始密码，那么加密后的数据也是一样的，这还是有点安全隐患的，所以**盐值最好设置为一个用户的唯一值**（一般采用用户名）。
4.  在自定义Realm的认证方法(doAuthenticationInfo方法)，返回的SimpeAuthenticationInfo对象时，需要采用带有ByteSource参数的构造函数来构建对象。ByteSource对象可以采用**ByteSource.Util.byte(String UserID)**获取；
5.  使用 new SimpleHash(hashAlgorithmName,salt,hashIterations); 来计算加盐后的密码值。

[Center]: https://img-blog.csdn.net/20171104210405941?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvYWNtbWFu/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center
[Center 1]: https://img-blog.csdn.net/20171104210417646?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvYWNtbWFu/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center
[Center 2]: https://img-blog.csdn.net/20171104210441138?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvYWNtbWFu/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center