Shiro框架入门-阿里云开发者社区

简介

Shiro 是当下常见的安全框架，主要用于用户验证和授权操作。

如同 spring security 一样都是是一个权限安全框架，但是与Spring Security相比，在于他使用了和比较简洁易懂的认证和授权方式。

Shiro的核心组件：

Subject ：当前用户的操作
SecurityManager：用于管理所有的Subject
Realms：用于进行权限信息的验证

Subject：即当前用户，在权限管理的应用程序里往往需要知道谁能够操作什么，谁拥有操作该程序的权利，shiro中则需要通过Subject来提供基础的当前用户信息，Subject 不仅仅代表某个用户，也可以是第三方进程、后台帐户（Daemon Account）或其他类似事物。

SecurityManager：即所有Subject的管理者，这是Shiro框架的核心组件，可以把他看做是一个Shiro框架的全局管理组件，用于调度各种Shiro框架的服务。

Realms：Realms则是用户的信息认证器和用户的权限人证器，我们需要自己来实现Realms来自定义的管理我们自己系统内部的权限规则。

实现方式

在shiro的用户权限认证过程中其通过两个方法来实现：

1、Authentication：是验证用户身份的过程。

2、Authorization：是授权访问控制，用于对用户进行的操作进行人证授权，证明该用户是否允许进行当前操作，如访问某个链接，某个资源文件等。

创建Shiro项目

使用IDEA创建maven项目，在pom.xml中添加依赖：

  <dependency>
      <groupId>org.apache.shiro</groupId>
      <artifactId>shiro-core</artifactId>
      <version>1.4.0</version>
    </dependency>
    <!-- https://mvnrepository.com/artifact/org.slf4j/slf4j-api -->
    <dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-simple</artifactId>
      <version>1.6.1</version>
    </dependency>

使用shiro

Shiro提供了一个通用的方案通过 INI 进行配置，当然也可以通过XML，YMAL，JSON等进行配置。

在resource目录下面，创建一个shiro.ini的文件。内容如下：

#定义用户
[users]
#用户名 zhang3  密码是 12345， 角色是 admin
zhang3 = 12345,admin
#用户名 li4  密码是 abcde， 角色是 产品经理
li4 = abcde,productManager
#定义角色
[roles]
#管理员什么都能做
admin = *
#产品经理只能做产品管理
productManager = addProduct,deleteProduct,editProduct,updateProduct,listProduct
#订单经理只能做产品管理
orderManager = addOrder,deleteOrder,editOrder,updateOrder,listOrder

创建User对象

package cn.jp.shiro.pojo;
/**
 * @author JP
 * @title: User
 * @projectName studyShiro
 * @description:准备用户类，存储账户和密码
 *
 * @date 2019/2/22 00229:18
 */
public class User {
    private String name;
    private String password;
    @Override
    public String toString() {
        return "User{" +
                "name='" + name + '\'' +
                ", password='" + password + '\'' +
                '}';
    }
    public String getName() {
        return name;
    }
    public void setName(String name) {
        this.name = name;
    }
    public String getPassword() {
        return password;
    }
    public void setPassword(String password) {
        this.password = password;
    }
}

创建一个TestShiro测试类

package cn.jp.shiro.test;
import java.util.ArrayList;
import java.util.List;
import cn.jp.shiro.pojo.User;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;
/**
 * @author JP
 * @title: TestShiro
 * @projectName studyShiro
 * @description:测试shiro安全框架
 * @date 2019/2/22 00229:22
 */
public class TestShiro {
    public static void main(String[] args) {
        User zhang3 = new User();
        zhang3.setName("zhang3");
        zhang3.setPassword("12345");
        User li4 = new User();
        li4.setName("li4");
        li4.setPassword("abcde");
        User wang5 = new User();
        wang5.setName("wang5");
        wang5.setPassword("wrongpassword");
        List<User> users = new ArrayList<>();
        users.add(zhang3);
        users.add(li4);
        users.add(wang5);
        //角色们
        String roleAdmin = "admin";
        String roleProductManager = "productManager";
        String orderManager = "orderManager";
        List<String> roles = new ArrayList<>();
        roles.add(roleAdmin);
        roles.add(roleProductManager);
        roles.add(orderManager);
        //权限们
        String permitAddProduct = "addProduct";
        String permitAddOrder = "addOrder";
        String permitDeleteProduct = "deleteProduct";
        List<String> permits = new ArrayList<>();
        permits.add(permitAddProduct);
        permits.add(permitAddOrder);
        permits.add(permitDeleteProduct);
        //登录每个用户
        for (User user : users) {
            if (login(user)) {
                System.out.printf("%s \t成功登陆，用的密码是 %s\t %n", user.getName(), user.getPassword());
            } else {
                System.out.printf("%s \t成功失败，用的密码是 %s\t %n", user.getName(), user.getPassword());
            }
        }
        System.out.println("------- 分割线------");
        //判断能够登录的用户是否拥有某个角色
        for (User user : users) {
            for (String role : roles) {
                if (login(user)) {
                    if (TestShiro.hasRole(user, role)) {
                        System.out.printf("%s\t 拥有角色: %s\t%n", user.getName(), role);
                    } else {
                        System.out.printf("%s\t 不拥有角色: %s\t%n", user.getName(), role);
                    }
                }
            }
        }
        System.out.println("------- 分割线------");
       for(User user:users){
           for(String permit:permits){
               if(login(user)){
                   if(isPermitted(user,permit)){
                       System.out.printf("%s\t 拥有权限: %s\t%n",user.getName(),permit);
                   }else{
                       System.out.printf("%s\t 不拥有权限: %s\t%n",user.getName(),permit);
                   }
               }
           }
       }
    }
    /**
     * @return
     * @Author jp
     * @Description //TODO 用户拥有角色
     * @Date 9:37 2019/2/22 0022
     * @Param
     **/
    public static boolean hasRole(User user, String role) {
        Subject subject = getSubject(user);
        return subject.hasRole(role);
    }
    /**
     * @return
     * @Author jp
     * @Description //TODO 判断是否拥有权限
     * @Date 9:39 2019/2/22 0022
     * @Param
     **/
    public static boolean isPermitted(User user, String permit) {
        Subject subject = getSubject(user);
        return subject.isPermitted(permit);
    }
    /**
     * @Author jp
     * @Description //TODO
     * @Date 10:21 2019/2/22 0022
     * @Param
     * @return
     **/
    private static Subject getSubject(User user) {
        //加载配置文件，获取工厂
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        //获取安全管理实例
        SecurityManager sm = factory.getInstance();
        //将安全管理sui者放入全局对象
        SecurityUtils.setSecurityManager(sm);
        //全局对象通过安全管理者生成Subject对象
        Subject subject = SecurityUtils.getSubject();
        return subject;
    }
    /**
     * @return
     * @Author jp
     * @Description //TODO 判断用户是否登录
     * @Date 9:35 2019/2/22 0022
     * @Param
     **/
    private static boolean login(User user) {
        Subject subject = getSubject(user);
        //如果已经登录，退出
        if (subject.isAuthenticated())
            subject.logout();
        //封装用户数据
        UsernamePasswordToken token = new UsernamePasswordToken(user.getName(), user.getPassword());
        try {
            //将用户数据token，最终传递到Realm中进行对比
            subject.login(token);
        } catch (AuthenticationException e) {
            //验证错误
            return false;
        }
        return subject.isAuthenticated();
    }
}

实现效果

当输入的账户与shiro.ini配置文件里账户匹配时，登录成功，然后验证角色所拥有的权限~

Shiro框架入门

简介

Shiro的核心组件：

实现方式

创建Shiro项目

使用shiro

热门文章

最新文章

相关课程

相关电子书