一、权限认证核心要素
权限认证顾名思义，就是在应用系统中，控制谁能访问哪些资源。核心要素有仨：权限、角色、用户
权限：即操作资源的权利，如访问某个url，对某个模块数据进行增删改查
角色：权限的集合，一种角色可以包含多种权限。例如操作员角色可查看系统账单、进行结账操作多种权限。
用户：也就是身份认证中提到的subject一角。
二、授权
shiro授权的方式通常有三种：
1、编程式授权：在代码中进行授权操作，可基于角色和权限两种方式。
2、注解式授权：使用注解对方法或类进行授权，标注该类可被哪些权限、角色所使用。
3、Jsp标签授权：shiro比较灵活的地方笔者觉得就是jsp标签授权，通过shiro的guest、user、principal等标签，可通过访问权限的不同，控制页面信息显示。免去了一大部分后台处理逻辑。好方便，好好用。后面会有详细介绍。
三、编程式授权实例
1、同样首先创建ini文件
[users] java1234=123456,role1,role2 jack=123,role1
这是一个通过角色授权的方式，具体含义是指：用户名为java1234的用户享有role1，role2角色的权利，jack用户享有role1的权利。
2、java代码通过hasRole 和checkRole的方法可判断某用户是否具有role1、role2角色权利。
这里首先将一些shiro初始化、预处理的操作封装成一个util类
public class ShiroUtil {
public static Subject login(String configFile,String userName,String password){
// 读取配置文件，初始化SecurityManager工厂
Factory<SecurityManager> factory=new IniSecurityManagerFactory(configFile);
// 获取securityManager实例
SecurityManager securityManager=factory.getInstance();
// 把securityManager实例绑定到SecurityUtils
SecurityUtils.setSecurityManager(securityManager);
// 得到当前执行的用户
Subject currentUser=SecurityUtils.getSubject();
// 创建token令牌，用户名/密码
UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
try{
// 身份认证
currentUser.login(token);
System.out.println("身份认证成功！");
}catch(AuthenticationException e){
e.printStackTrace();
System.out.println("身份认证失败！");
}
return currentUser;
}
}
新建roleTest类，通过调用user的hasRole、checkRole方法判断用户权限。
public class RoleTest {
@Test
public void testHasRole() {
Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "jack", "123");
System.out.println(currentUser.hasRole("role1")?"有role1这个角色":"没有role1这个角色");
boolean []results=currentUser.hasRoles(Arrays.asList("role1","role2","role3"));
System.out.println(results[0]?"有role1这个角色":"没有role1这个角色");
System.out.println(results[1]?"有role2这个角色":"没有role2这个角色");
System.out.println(results[2]?"有role3这个角色":"没有role3这个角色");
System.out.println(currentUser.hasAllRoles(Arrays.asList("role1","role2"))?"role1,role2这两个角色都有":"role1,role2这个两个角色不全有");
currentUser.logout();
}
@Test
public void testCheckRole() {
Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_role.ini", "jack", "123");
currentUser.checkRole("role1");
currentUser.checkRoles(Arrays.asList("role1","role2"));
currentUser.checkRoles("role1","role2","role3");
currentUser.logout();
}
}
通过权限permission的权限验证方式如下：
[users] java1234=123456,role1,role2 jack=123,role1 [roles] role1=user:select role2=user:add,user:update,user:delete
这里就补充了role1、role2用户具体具有哪些操作权，role1可进行select操作，同理，role2可进行增删改操作。同样调用user关于permission认证的方法，可对用户具体操作权限进行认证。
public class PermissionTest {
@Test
public void testIsPermitted() {
Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "jack", "123");
System.out.println(currentUser.isPermitted("user:select")?"有user:select这个权限":"没有user:select这个权限");
System.out.println(currentUser.isPermitted("user:update")?"有user:update这个权限":"没有user:update这个权限");
boolean results[]=currentUser.isPermitted("user:select","user:update","user:delete");
System.out.println(results[0]?"有user:select这个权限":"没有user:select这个权限");
System.out.println(results[1]?"有user:update这个权限":"没有user:update这个权限");
System.out.println(results[2]?"有user:delete这个权限":"没有user:delete这个权限");
System.out.println(currentUser.isPermittedAll("user:select","user:update")?"有user:select,update这两个权限":"user:select,update这两个权限不全有");
currentUser.logout();
}
@Test
public void testCheckPermitted() {
Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "java1234", "123456");
// Subject currentUser=ShiroUtil.login("classpath:shiro_permission.ini", "jack", "123");
currentUser.checkPermission("user:select");
currentUser.checkPermissions("user:select","user:update","user:delete");
currentUser.logout();
}
}
四、shiro与web集成进行权限认证
下面介绍在java
web程序中使用 Shiro进行权限认证。
- 首先也是添加shiro相关jar包：shiro-web、shiro-core；commons-logging、slf4j-api、log4j；jstl、javax.servlet.jsp-api、javax.servlet-api
- 在web.XML中添加shiroFilter过滤器，并初始化创建的shiro.ini配置文件。
<listener> <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class> </listener> <!-- 添加shiro支持 --> <filter> <filter-name>ShiroFilter</filter-name> <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class> </filter> <filter-mapping> <filter-name>ShiroFilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> <!--省略loginServlet 和adminServlet配置ps.login 针对所有的/login请求，admin针对/admin-->
shiro.ini文件
[main] authc.loginUrl=/login roles.unauthorizedUrl=/unauthorized.jsp perms.unauthorizedUrl=/unauthorized.jsp [users] java1234=123456,admin jack=123,teacher marry=234 json=345 [roles] admin=user:* teacher=student:* [urls] /login=anon /admin=authc /student=roles[teacher] /teacher=perms["user:create"]
3.创建login和adminservlet，分别用于直接登陆转发到login.jsp,和admin登录进行身份验证，转发到succeess.jsp和error.jsp
public class LoginServlet extends HttpServlet{
private static final long serialVersionUID = 1L;
@Override
protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
System.out.println("login doget");
req.getRequestDispatcher("login.jsp").forward(req, resp);
}
@Override
protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
System.out.println("login dopost");
String userName=req.getParameter("userName");
String password=req.getParameter("password");
Subject subject=SecurityUtils.getSubject();
UsernamePasswordToken token=new UsernamePasswordToken(userName, password);
try{
subject.login(token);
resp.sendRedirect("success.jsp");
}catch(Exception e){
e.printStackTrace();
req.setAttribute("errorInfo", "用户名或者密码错误");
req.getRequestDispatcher("login.jsp").forward(req, resp);
}
}
}
4.配置数据源-这里介绍两种reaml：Text
Reaml和自定义JDBC reaml 。
Text Reaml 配置详情与访问流程
text Reaml配置整合到Shiro.ini文件中，具体配置了四个用户，java1234拥有admin角色权限，jack拥有teacher角色权限；角色admin可对user进行任意crud操作，teacher可对student进行crud操作；访问的urls，请求/login地址时，这里的anon是指游客身份，不需要进行任何身份认证；请求/admin地址时，需要进行身份认证，进行filter过滤后，跳转到【main】中进行了配置为/login
(jsp页面），同样，role和perms的权限认证页设置为unauthorized.jsp；
上面ini配置达到的效果就是：当请求访问localhost:8080/shiro/login 时直接跳到hello页面，无需进行身份验证。当访问localhost:8080/shiro/admin时，先转发到login.jps进行身份验证，进入adminServlet，验证结束后转发到error或succeess页面。再次访问admin地址时，由于第一次访问记录了用户登录信息，故无需在登陆直接跳转到success页面。而访问localhost:8080/shiro/student时，login信息如果使用json（没有任何角色权限的用户），则因为该用户权限不足（因为配置中访问student需要teacher角色）直接跳转到无权限访问页面。这就是使用
textReaml进行身份验证和权限验证的配置。
自定义 JDBC Reaml的配置与访问流程
由于text Reaml的信息毕竟有限，配置也相对比较麻烦，所以一般应用程序使用的都是自定义reaml，此处创建一个自定义JDBC readml并演示reaml与java程序结合的流程。
由于需要创建数据库（创建用户、角色、权限三张表，依次主外键关联），然后首先引入数据库驱动jar包；在shiro,ini文件中指定当前securityManager使用的验证策略是自定义jdbcReaml。
[main] authc.loginUrl=/login roles.unauthorizedUrl=/unauthorized.jsp perms.unauthorizedUrl=/unauthorized.jsp myRealm=com.java.realm.MyRealm securityManager.realms=$myRealm [urls] /login=anon /admin*=authc /student=roles[teacher] /teacher=perms["user:create"]
最后创建数据库连接Util类和myReaml类调用底层数据查询dao即可。
/**
* 数据库工具类
* @author
*/
public class DbUtil {
public Connection getCon() throws Exception{
Class.forName("com.mysql.jdbc.Driver");
Connection con=DriverManager.getConnection("jdbc:mysql://localhost:3306/db_shiro", "root", "123456");
return con;
}
public void closeCon(Connection con)throws Exception{
if(con!=null){
con.close();
}
}
public static void main(String[] args) {
DbUtil dbUtil=new DbUtil();
try {
dbUtil.getCon();
System.out.println("数据库连接成功");
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
System.out.println("数据库连接失败");
}
}
}
MyReaml类：继承shiro
AuthorizingReaml类，重写身份验证和权限验证两个方法。（这里也就解释了为什么访问student地址时，并未配置需要先登录，程序却自动跳转到登录面。因为底层封装了默认请求都先进行身份认证的方法。）
public class MyRealm extends AuthorizingRealm{
private UserDao userDao=new UserDao();
private DbUtil dbUtil=new DbUtil();
/**
* 为当前登录的用户授予角色和权限
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
String userName=(String)principals.getPrimaryPrincipal();
SimpleAuthorizationInfo authorizationInfo=new SimpleAuthorizationInfo();
Connection con=null;
try{
con=dbUtil.getCon();
authorizationInfo.setRoles(userDao.getRoles(con,userName));
authorizationInfo.setStringPermissions(userDao.getPermissions(con,userName));
}catch(Exception e){
e.printStackTrace();
}finally{
try {
dbUtil.closeCon(con);
} catch (Exception e) {
e.printStackTrace();
}
}
return authorizationInfo;
}
/**
* 验证当前登录的用户
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
String userName=(String)token.getPrincipal();
Connection con=null;
try{
con=dbUtil.getCon();
User user=userDao.getByUserName(con, userName);
if(user!=null){
AuthenticationInfo authcInfo=new SimpleAuthenticationInfo(user.getUserName(),user.getPassword(),"xx");
return authcInfo;
}else{
return null;
}
}catch(Exception e){
e.printStackTrace();
}finally{
try {
dbUtil.closeCon(con);
} catch (Exception e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
}
return null;
}
}
这两个方法分别封装了一个身份信息实体类AuthenticationInfo 和AuthorizetionInfo返回。
首先获取用户信息，根据用户名查询数据库中的用户、权限等其他信息验证即可。整体流程是当浏览器访问例如：localhost:8080/shiro/admin 地址时，先调用loginServlet，在执行user.login方法时，进入自定义MyReaml类，获取用户信息，进行身份验证。