备案控制台
开发者社区 开发与运维 文章 正文

2021年你还不会Shiro?----8.使用Shiro实现权限管理（前后端）

2023-01-08 316
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 这是一个系列的文章，这是第八篇，如果只是看了这一篇或者对于Shiro没有基础的人，看到这一篇可能并不会有多大收益。前面几篇文章已经介绍了Shiro+JSP+SpringBoot+Mybatis+mysql的整合，并实现了使用MD5+盐+hash散列的方式对密码进行加密的注册登录功能。这篇是基于之前的文章进行写作的，下面就要说下登录完成后怎么实现授权操作。也就是怎么使用Shiro实现权限管理，前后端的授权是分开的，准确的说是没有关系的，所以这里也是对前后端的授权操作分开讲解。

前言：

这是一个系列的文章，这是第八篇，如果只是看了这一篇或者对于Shiro没有基础的人，看到这一篇可能并不会有多大收益。前面几篇文章已经介绍了Shiro+JSP+SpringBoot+Mybatis+mysql的整合，并实现了使用MD5+盐+hash散列的方式对密码进行加密的注册登录功能。这篇是基于之前的文章进行写作的，下面就要说下登录完成后怎么实现授权操作。也就是怎么使用Shiro实现权限管理，前后端的授权是分开的，准确的说是没有关系的，所以这里也是对前后端的授权操作分开讲解。


一.使用Shiro实现对前端的授权


这里介绍的前端授权是基于JSP的，因为Shiro对于集成JSP是比较友好的，所以就拿JSP来学习以及总结了，再加上笔者是个彻底的后端开发，所以就挑了简单的进行学了总结了。但其实对于后端的开发来说，这块是属于可以不用掌握的范围。但是我们要是掌握了，对于我们对前后端全局的感知会更好。况且学习下也不费劲，所以就一起学习了下。


1.基于角色


无论是前端还是后端，权限的管理都是分为两种，一种是基于角色的一种是基于资源的，基于角色的是为用户赋予角色信息，每个角色可以访问的资源我们在页面里进行判断，基于资源的就是为每个用户对应的角色设置资源描述符然后再进行判断。下面说下这个过程的详细实现：


1.导入shiro标签库


首先我们需要为JSP导入集成Shiro的标签库。

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>


2.对内容管理按钮进行角色验证


如下，我们可以看出给内容管理按钮增加了admin角色的验证，只有拥有了该角色，才能看到该按钮。

<body>
<h1>系统主页</h1>
    <ul>
        <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
        <li><a href="">用户管理</a></li>
        <li><a href=""></a>商品管理</li>
        <li><a href=""></a>商户管理</li>
        <shiro:hasRole name="admin">
            <li><a href=""></a>内容管理</li>
        </shiro:hasRole>
    </ul>
</body>


3.实现Realm中的授权方法


我们知道，只要我们在调用判断是否拥有角色、是否拥有权限字符串相关方法时，就会触发授权认证的方法，如果不调用是不会触发该方法的（抛开缓存说的）。这里就不演示了，有兴趣的可以测试以下。我们直接实现授权操作。

public class FirstRealm extends AuthorizingRealm {
    @Autowired
    ShiroUserService shiroUserService;
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("触发授权操作了");
        String username = (String)principalCollection.getPrimaryPrincipal();
        SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
        List<ShiroUserPermission> shiroUserPermissionList = shiroUserService.queryShiroUserPermissionByUsername(username);
        shiroUserPermissionList.stream().forEach(
                shiroUserPermission -> {
                    if(shiroUserPermission.getRole()!=null){
                        simpleAuthorizationInfo.addRole(shiroUserPermission.getRole());
                    }
                    if(shiroUserPermission.getPermission()!=null){
                        simpleAuthorizationInfo.addStringPermission(shiroUserPermission.getPermission());
                    }
                }
        );
        return simpleAuthorizationInfo;
    }
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken)authenticationToken;
        ShiroUser shiroUser = shiroUserService.queryUser(usernamePasswordToken.getUsername());
        if(shiroUser!=null){
            return new SimpleAuthenticationInfo(shiroUser.getUsername(),shiroUser.getPassword(),ByteSource.Util.bytes(shiroUser.getSalt()),this.getName());
        }
        return null;
    }
}


如上面代码中的第一个方法，就是用来获取数据库中的权限信息的，代码也很简单，就是获取到主账户信息，然后去数据库查询该账户下所有的角色以及权限信息。


4.service层接口

public interface ShiroUserService {
    void insertUser(ShiroUser shiroUser);
    ShiroUser queryUser(String username);
    List<ShiroUserPermission> queryShiroUserPermissionByUsername(String username);
}


实现类与dao层接口就不展示了，没啥区别，下面展示下mapper.xml的内容


5.对应的mapper.xml内容

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.example.demo5.dao.ShiroUserDao">
   <resultMap id="ShiroResultMap" type="com.example.demo5.entry.ShiroUserPermission">
       <result column="username" property="username" jdbcType="VARCHAR" />
       <result column="role" property="role" jdbcType="VARCHAR" />
       <result column="permission" property="permission" jdbcType="VARCHAR" />
   </resultMap>
   <sql id="shiro_user_fields">
     oid,username,password,salt
   </sql>
   <insert id="insertUser" parameterType="ShiroUser" useGeneratedKeys="true" keyProperty="oid">
       insert into shiro_user values (#{oid},#{username},#{password},#{salt})
   </insert>
   <select id="queryUser" parameterType="java.lang.String" resultType="ShiroUser">
       select
       <include refid="shiro_user_fields"/>
       from shiro_user where 1=1
       <if test="username != null and username != ''">
         and username = #{username}
       </if>
   </select>
   <select id="queryShiroUserPermissionByUsername" resultMap="ShiroResultMap" parameterType="String">
       SELECT distinct
           a.username,
           c.role,
           e.permission
       FROM
           shiro_user a
       LEFT JOIN shiro_user_role_relation b ON a.oid = b.shiro_user_oid
       left join shiro_role c on b.shiro_role_oid = b.oid
       left join shiro_role_permission d on c.oid = d.shiro_role_oid
       left join shiro_permission e on d.shiro_permission_oid = e.oid
       where a.username = #{username}
   </select>
</mapper>


这是对应的mapper文件内容。


6.对应的表的创建


权限管理经典的五张表，用户表、角色表、权限表、用户角色表、角色权限表。如果不清楚这五张表关系，建议看下这篇文章：权限管理的五张表 ，这里就展示下五张表的内容：


用户表：shiro_user

20210328230708466.png


角色表：shiro_role

20210328231036453.png

权限表：shiro_permission


20210328231114256.png用户角色表：shiro_user_role_relation

2021032823120250.png

角色权限表：shiro_role_permission


20210328231254955.png


分析以上表的内容，我们很容一发现，秦始皇这个用户拥有admin和user两个角色，admin这个角色拥有admin:context:view的资源权限字符串，这样秦始皇这个用户所拥有的权限就清晰了。两个角色admin、user，一个资源描述符admin:context:view。


7.测试授权是否成功


根据以上六个步骤，我们已经将前提条件准备完全了，下面就来测试下， 登录进入首页后能否看到内容管理，如果看得到就说明，授权成功了。


20210328231947411.png


从图中可以看出，内容管理显示了出来，说明验证秦始皇这个用户拥有admin的角色，已经通过了。刚刚我们已经知道秦始皇拥有admin与user两个角色。我们再来验证下，让商户管理拥有两个角色任意一个就可以看到。jsp代码如下：

<body>
    <h1>系统主页</h1>
    <ul>
        <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
        <li><a href="">用户管理</a></li>
        <li><a href=""></a>商品管理</li>
        <shiro:hasAnyRoles name="admin,user">
        <li><a href=""></a>商户管理</li>
        </shiro:hasAnyRoles>
        <shiro:hasRole name="admin">
            <li><a href=""></a>内容管理</li>
        </shiro:hasRole>
    </ul>
</body>


刷新网页，展示如下：


20210328232320824.png


依然可以看到商户管理，说明验证通，那么我们再来验证个不存在的角色，若是秦始皇拥有system这个角色，就展示商品管理。很显然当前用户不拥有该角色，理论上会看不到商品管理。jsp代码修改如下：

<body>
<h1>系统主页</h1>
<ul>
    <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
    <li><a href="">用户管理</a></li>
    <shiro:hasRole name="system">
    <li><a href=""></a>商品管理</li>
    </shiro:hasRole>
    <shiro:hasAnyRoles name="admin,user">
    <li><a href=""></a>商户管理</li>
    </shiro:hasAnyRoles>
    <shiro:hasRole name="admin">
        <li><a href=""></a>内容管理</li>
    </shiro:hasRole>
</ul>


~~~~ 刷新页面，结果如下： ![在这里插入图片描述](https://ucc.alicdn.com/images/user-upload-01/20210328233203578.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzQ2ODk3OTIz,size_16,color_FFFFFF,t_70) 我们发现，商品管理以及消失了，因为秦始皇并没有system这个角色，所以当前用户看不到这个菜单。以上这些就是使用JSP时，基于角色实现的权限管理。下面我们就来看下基于资源如何实现权限管理


2.基于资源


在上面基于角色的实现的前端权限控制时，已经详细的介绍了每一步的实现，基于资源与基于角色的唯一区别就是，JSP页面的标签的区别。其他都过程都是相同的，包括使用的service方法，dao方法，mapper文件，数据库表等等都是同一个。所以这里就不重复介绍了。我们直接介绍JSP这部分有区别的部分就好。

我们还是基于商户管理这个按钮来验证，JSP代码修改如下：

<body>
    <h1>系统主页</h1>
    <ul>
        <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
        <li><a href="">用户管理</a></li>
        <li><a href=""></a>商品管理</li>
        <shiro:hasPermission name="admin:context:view">
        <li><a href=""></a>商户管理</li>
        </shiro:hasPermission>
        <shiro:hasRole name="admin">
            <li><a href=""></a>内容管理</li>
        </shiro:hasRole>
    </ul>
</body>


根据上面展示的数据库信息我们可以知道，秦始皇是拥有这个资源描述符的，或者说他拥有这个权限，正常情况下我们应该可以看到商户管理。刷新页面展示如下：


20210328234534460.png


很显然结果是正确的，那我们将admin:context:view改成admin:context:delete呢？理论上是看不到商户管理了。JSP改的代码如下：

<body>
    <h1>系统主页</h1>
    <ul>
        <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
        <li><a href="">用户管理</a></li>
        <li><a href=""></a>商品管理</li>
        <shiro:hasPermission name="admin:context:delete">
        <li><a href=""></a>商户管理</li>
        </shiro:hasPermission>
        <shiro:hasRole name="admin">
            <li><a href=""></a>内容管理</li>
        </shiro:hasRole>
    </ul>
</body>


刷新页面，结果如下：


20210328234808738.png


我们可以看到，商户管理以及消失了，因为访问商户管理所需的资源描述符admin:context:delete，秦始皇这个用户是没有的，所以自然就看不到了，这就是JSP页面基于资源描述符实现的权限管理。


二.使用Shiro实现对后端的授权


JSP实现权限控制已经说完了，运行时JSP其实也是被编译成class文件运行的，JSP底层也是java代码所写，所以后端的授权操作其实与JSP实现的授权区别不大。出了在请求资源中的权限判断其他部分其实都是相同的。下面我们就来一起看下吧。


1.基于角色


1.首先需要为JSP页面中的内容管理增加一个跳转，修改如下：

<body>
    <h1>系统主页</h1>
    <ul>
        <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
        <li><a href="">用户管理</a></li>
        <li><a href="">商品管理</a></li>
        <shiro:hasPermission name="admin:context:view">
        <li><a href="">商户管理</a></li>
        </shiro:hasPermission>
        <shiro:hasRole name="admin">
            <li><a href="${pageContext.request.contextPath}/user/context">内容管理</a></li>
        </shiro:hasRole>
    </ul>
</body>


2.提供一个context的接口，供点击跳转。

@RequestMapping("/context")
public String goContext(){
    System.out.println("进入内容管理后端接口");
    return "redirect:/context.jsp";
}


3.提供一个context的页面

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8"%>
<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
<!DOCTYPE html>
<html>
<head>
   <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
   <title>内容管理页面</title>
   <style type="text/css">
       *{margin: 0;padding: 0;}
       form{margin: 0 auto;padding:15px; width: 300px;height:300px;text-align: center;}
       #submit{padding: 10px}
       #submit input{width: 50px;height: 24px;}
   </style>
</head>
<body>
   <h1>内容管理页面</h1>
   <ul>
       <a href="${pageContext.request.contextPath}/user/logout">退出登录</a>
       <li><a href="">内容1</a></li>
       <li><a href=""></a>内容2</li>
       <shiro:hasPermission name="admin:context:view">
           <li><a href=""></a>内容3</li>
       </shiro:hasPermission>
       <shiro:hasRole name="admin">
           <li><a href="${pageContext.request.contextPath}/user/context"></a>内容4</li>
       </shiro:hasRole>
   </ul>
</body>
</html>


4.修改后端接口，对角色进行判断，代码如下：

@RequestMapping("/context")
public String goContext(){
    System.out.println("进入内容管理后端接口");
    Subject subject = SecurityUtils.getSubject();
    String role = "admin";
    if(subject.hasRole(role)){
        System.out.println("当前用户"+ subject.getPrincipal()+",拥有该角色：" + role);
        return "redirect:/context.jsp";
    }else{
        System.out.println("当前用户"+ subject.getPrincipal()+",未拥有该角色：" + role);
        return "redirect:/login.jsp";
    }
}


可以清晰看到，当秦始皇拥有admin这个角色时才能够进入到内容管理页面，否则会重定向到登录页。登录系统点击内容管理展示如下：


20210329094932552.png


说明后端角色验证成功了，下面呢是后端打印的日志：


20210329095003340.png


那么我们换一个秦始皇没有的角色呢，比如system。后台接口代码修改如下：

@RequestMapping("/context")
public String goContext(){
    System.out.println("进入内容管理后端接口");
    Subject subject = SecurityUtils.getSubject();
    String role = "system";
    if(subject.hasRole(role)){
        System.out.println("当前用户"+ subject.getPrincipal()+",拥有该角色：" + role);
        return "redirect:/context.jsp";
    }else{
        System.out.println("当前用户"+ subject.getPrincipal()+",未拥有该角色：" + role);
        return "redirect:/login.jsp";
    }
}


这种情况理论下点击内容管理按钮会跳转到登录页。我们来测试下。结果如下：


202103291033187.gif


很显然我们跳转到了首页，验证了秦始皇还没有system这个角色的。同时我们可以使用Shiro提供的注解RequiresRoles，不用在代码里加入这些判断，只需要在注解中声明需要校验的角色就行。


上面的动图使用了一款叫GifGam的制图软件。感兴趣可以看下这里：动图制作工具

该工具只有1.6M大小，解压即用。


2.基于资源


那么基于资源我们要怎么实现权限的认证呢，其实和角色没有太大的 区别，无非就是判断下用户拥有的资源描述符是不是与当前校验的一致，或者是否包含当前的资源描述符。我们修改后端代码如下：

  @RequiresPermissions("admin:context:view")
    @RequestMapping("/context")
    public String goContext(){
        System.out.println("进入内容管理后端接口");
        return "redirect:/context.jsp";
    }


启动项目进行测试，结果如下：


20210329111731928.gif


我们可以看到，正常进入到了内容管理页面，说明这个注解式的权限验证是没有问题的，其实在实际开发中，我们使用的一般都是资源描述符，然后通过注解实现权限控制。那么要是没有这个权限呢？


接口代码修改如下：

  @RequiresPermissions("admin:context:delete")
    @RequestMapping("/context")
    public String goContext(){
        System.out.println("进入内容管理后端接口");
        return "redirect:/context.jsp";
    }


很显然，秦始皇并没有这个资源描述符，肯定是访问不了该接口的。请求结果如下：


202103291124565.gif


可以看到，当用户没有改权限描述符时就会抛出AuthorizationException。让用户看这个肯定是不合适的，我们只需要在配置ShireFilter时配置下，认证失败的返回页面就行。如下：

  @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(DefaultWebSecurityManager defaultWebSecurityManager){
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(defaultWebSecurityManager);
        Map<String,String> map = new HashMap<>();
        map.put("/user/*","anon");//表示该资源无需认证授权,无需授权的应该写在上面
        map.put("/user/logout","anon");//表示该资源无需认证授权
        map.put("/register.jsp","anon");//表示该资源无需认证授权
        map.put("/test","anon");//表示该资源无需认证授权
        map.put("/login.jsp","anon");//表示该资源无需认证授权,此处不写是不能正常访问到登录页面的，
        //但是看的课程上是可以访问到，并且无其他配置，这块如果不加，我这里访问不到登录页，会陷入循环的重定向。
        map.put("/**","authc");//表示所有资源都需要经过认证授权
        shiroFilterFactoryBean.setFilterChainDefinitionMap(map);
        //设置授权失败返回的页面
        shiroFilterFactoryBean.setLoginUrl("login.jsp");//这也是默认值
        shiroFilterFactoryBean.setUnauthorizedUrl("error.jsp");//认证失败返回页面
        return shiroFilterFactoryBean;
    }


再提供一个无权限的提示页面：

<%@ page language="java" contentType="text/html; charset=UTF-8"
         pageEncoding="UTF-8"%>
<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>
<!DOCTYPE html>
<html>
<head>
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
    <title>权限认证</title>
    <style type="text/css">
        *{margin: 0;padding: 0;}
        form{margin: 0 auto;padding:15px; width: 300px;height:300px;text-align: center;}
        #submit{padding: 10px}
        #submit input{width: 50px;height: 24px;}
    </style>
</head>
<body>
    <h1>您没有权限</h1>
</body>
</html>


然后我们再测试下刚刚的无权限的场景，如下：


2021032911385483.gif


这时提示的就是无权限就不会报错了，在代码中实现和角色差不多，这里就不继续演示了。


三.权限管理的总结


1.为什么说前后端的权限是没有关系的


前端我们可以控制到按钮级别，可以控制到资源级别，只要根据角色信息或者是资源描述符进行判断即可。或者是提供一个表，该表用以存储该角色可以访问的菜单，进入菜单之前先查询该表，查到的内容才会在前端展示。


而后端的权限控制都是基于方法的或者说接口，我们每个方法都可以判断用户的角色，以及用户是否拥有相应的资源描述符。前后端的判断是隔离的，互不影响，但是只有前后端一起，才构成了一个完整的权限管理。


2.使用Shiro到底方便了哪些操作


这个总结写到第8篇，其实已经接近完成了。我们这里可以小小的总结下，使用Shiro到底方便了哪些操作呢？使用Shiro我们目的是为了认证授权的便捷。认证自然就是注册与登录场景下使用。我们去实现一个自定义的Realm，然后去实现其中的doGetAuthenticationInfo方法，在这个方法里面我们可以查看数据库的用户信息，然后判断当前用户是否是真正的合法用户。查询到以后，返回给密码匹配器进行匹配，我们在注入自定义Realm时，可以自定义密码匹配器。通常该匹配器使用HashedPriencipalMather,然后告诉该匹配器使用的算法以及散列次数就行。然后我们还需要实现一个配置类，将Security Manager，ShiroFilter等对象注入到Spring容器中，当然了权限管理的5张基础表示少不了的。这样我们就可以在登录进来是进行身份认证了。认证通过以后，如果访问到了需要授权的资源，就会调用自定义Realm中的doGetAuthorizationInfo方法。该方法是去数据库查询权限信息的方法。该方法返回一个SImpleAuthorizationInfo类型，该类型携带了用户的角色以及权限标识符。然后就可以完成权限验证。而且在实际的开发中我们可以使用注解在接口或者方法上进行权限验证，无需使用代码进行判断。整个流程回忆下来，其实没有多少东西。我们平时使用时，只需要使用几个注解就可以完成后端的权限验证。这与我们自己写一个权限管理来说，是大大简化了开发流程，降低了安全隐患。


文章标签：
Java
前端开发
容器
数据安全/隐私保护
Spring
安全
算法
数据库
缓存
存储
是八哥啊~
目录
相关文章
阿甘兄
|
8月前
|
存储 缓存 安全
02 Shiro的架构
02 Shiro的架构
阿甘兄
32 0
是八哥啊~
|
存储 缓存 NoSQL
2021年你还不会Shiro?----9.Shiro利用缓存存储权限信息
前面的学习以及清楚，我们每调用一次权限的判断，就会默认调用一次自定义Realm中的doGetAuthorizationInfo方法进行过权限验证，但是当用户量与并发量比较高时，再按照这种方式去查询数据库，就会给系统带来很大的压力，让系统的响应变得很慢很，容易降低用户体验。这时候我们就需要使用缓存来存储已经登录的用户信息和用户的权限信息，缓存都是基于内存实现的比数据库快了很多，这样用户进来，直接从缓存中获取信息就行，不用去争抢有限的数据库资源了。
是八哥啊~
184 0
2021年你还不会Shiro?----9.Shiro利用缓存存储权限信息
是八哥啊~
|
存储 缓存 安全
2021年你还不会Shiro?----2.Shiro实现登录功能（身份认证实践）
上一篇介绍了Shiro的架构，我们可以发现Shiro核心的东西并不多，我们花个几分钟就可以把Shiro的机构记清楚，其中Security Manager就是Shiro的核心，他包含了身份认证器Authenticator、授权器Authorizer、Session管理Session Manager、缓存管理Cache Manager。这一篇我们就介绍下Shiro的身份认证的过程，也就是我们说的用户登录。
是八哥啊~
116 0
2021年你还不会Shiro?----2.Shiro实现登录功能（身份认证实践）
是八哥啊~
|
存储 缓存 安全
2021年你还不会Shiro?----1.Shiro的架构
涉及到多用户登录的系统时都要对用户进行权限管理，权限管理属于系统安全的范畴，权限管理主要是为了实现“对用户访问系统的控制”，根据安全规则去控制用户可以访问的资源。
是八哥啊~
120 0
2021年你还不会Shiro?----1.Shiro的架构
是八哥啊~
|
缓存 安全 Apache
2021年你还不会Shiro?----3.分析身份认证源码实现自定义Realm
我们已经知道无论我们是认证还是授权，数据的获取都是来源于Realm，Realm就相当于我们的datasource，在上一篇中我们使用的是用IniRealm来加载我们的配置文件shiro.ini，同时我们也说了ini只是临时解决方案，在实际的开发中是不可能把用户信息和权限信息放在ini文件中的，都是来源于数据库，那么系统提供的IniRealm就不能满足我们的需要了，我们就需要自定义Realm来实现真正的场景，事实上ini文件也只是apache为我们提供学习使用的策略，下面我们就来看下怎么自己定义一个Realm。
是八哥啊~
91 0
2021年你还不会Shiro?----3.分析身份认证源码实现自定义Realm
是八哥啊~
|
程序员 数据库 数据安全/隐私保护
2021年你还不会Shiro?----5.使用Shiro实现授权功能
每个用户对系统的访问都会对应着身份认证，那么身份认证完了以后呢，自然就是对该用户进行授权，判断用户请求的资源是否拥有权限，或者从数据中获取该用户对应的角色，从而判断对应的资源，该用户是否可以访问。
是八哥啊~
74 0
天蝎座的程序媛
|
存储 缓存 安全
Shiro框架01之什么是shiro+shiro的架构+权限认证
Shiro框架01之什么是shiro+shiro的架构+权限认证
天蝎座的程序媛
228 0
Shiro框架01之什么是shiro+shiro的架构+权限认证
Lux_Sun
|
SQL 安全 Java
Shiro - 基础篇（下）
Shiro - 基础篇（下）
Lux_Sun
102 0
Shiro - 基础篇（下）
Lux_Sun
|
缓存 Java 数据库
Shiro - 基础篇（上）
Shiro - 基础篇（上）
Lux_Sun
129 0
Shiro - 基础篇（上）
Java极客技术
|
数据库
【Shiro 系列 05】Shiro 中多 Realm 的认证策略问题
上篇文章和小伙伴们分享了 JdbcRealm，本文我想和小伙伴们聊聊多 Realm 的认证策略问题。
Java极客技术
315 0
【Shiro 系列 05】Shiro 中多 Realm 的认证策略问题