深入理解Shiro（下）

@Configuration
//自定义配置类，实现shiro的配置
public class shiroConfig{
  //1. shiroFilterFactoryBean
        //2. DefaultWebSecurityManager 安全管理器（关联Realm）
        //3. 创建realm对象
}

//3. 创建realm对象,需要自定义类，然后交给spring托管（放到bean中）
@Bean(name = "userRealm")
public UserRealm userRealm(){
    return new UserRealm();
}

//2. DefaultWebSecurityManager 安全管理器（关联Realm）
//@Qualifier("userRealm")中的内容就是下面第三步中的@Bean中name属性
@Bean(name = "securityManager")
public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
    DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
    //用securityManager来关联realm
    securityManager.setRealm(userRealm);
    //因为我们第三步已经将userRealm交给了spring接管，所以需要传参数来得到，而不是直接new
    return securityManager;
}

//1. shiroFilterFactoryBean
@Bean
public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultWebSecurityManager){
    ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
    //关联DefaultWebSecurityManager安全管理器
    bean.setSecurityManager(defaultWebSecurityManager);
    /**
     * 添加内置过滤器
     * ● anon ： 无需认证即可访问
     * ● authc ：必须认证才能访问
     * ● user ：必须拥有记住我才能访问
     * ● perms  ： 拥有对某个资源的权限才能访问
     * ● role  ： 拥有某个角色权限才能访问
     */
    //拦截的请求-----------------------------------
    Map<String, String> filterMap = new LinkedHashMap<>();
    filterMap.put("/vipFirst","perms[vip1]");
    filterMap.put("/vipSecond","perms[vip2]");
    bean.setFilterChainDefinitionMap(filterMap);//他的参数是从map集合中拿的,所以需要提前设置一个集合
    //如果没有权限，设置跳转页面(登录的请求)
    bean.setLoginUrl("/login");
    //未授权的请求
    //bean.setUnauthorizedUrl("");
    //-------------------------------------------
    return bean;
}

//3. 创建realm对象
    //实现的两个方法就是 springsecurity中授权和认证
public class UserRealm extends AuthorizingRealm {
  //认证
   // ....
    //授权
}

//认证
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
        System.out.println("===> 执行了认证方法");
        //获取当前的令牌，及其其中的信息
        UsernamePasswordToken userToken = (UsernamePasswordToken) authenticationToken;
        // 获取当前的用户 , 封装用户的登录数据(在controller的登录方法中实现)
        User user = userService.selectUser(userToken.getUsername());
        //判断是否与数据库中的相同，如果不相同
        if (!user.getUsername().equals(userToken.getUsername())){
            return null; //就会抛出异常
        }
        Subject subject = SecurityUtils.getSubject();
        Session session = subject.getSession();
        session.setAttribute("loginUser",user);
        //密码认证, shrio来帮助我们实现
        AuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),user.getDept());
        return info;
    }

//授权
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        System.out.println("===> 执行了授权方法");
        //执行授权的功能
        SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
        //将用户所具有的权限存放在数据库中，然后登录时获取用户的全部信息
        Subject subject = SecurityUtils.getSubject();
        //在用户进行认证时我们进行这个操作【AuthenticationInfo info = new SimpleAuthenticationInfo(user,user.getPassword(),user.getDept());】
        //通过他我们就可以拿到数据
        User user = (User) subject.getPrincipal();
        //设置当前用户的权限
        authorizationInfo.addStringPermission(user.getDept());
        //authorizationInfo.addRole("vip1");
        return authorizationInfo;
    }