前言
目前，使用 Apache Shiro 的人越来越多，因为它相当简单，对比 Spring Security，可能没有 Spring Security 做的功能强大，但是在实际工作时可能并不需要那么复杂的东西，所以使用小而简单的 Shiro 就足够了。对于它俩到底哪个好，这个不必纠结，能更简单的解决项目问题就好了
一、shiro简介
Apache Shiro 是 Java 的一个安全框架。可以非常容易的开发出足够好的应用，其不仅可以用在 JavaSE 环境，也可以用在JavaEE 环境。Shiro 可以帮助我们完成：认证、授权、加密、会话管理、与 Web 集成、缓存等。这不就是我们想要的嘛，而且 Shiro 的 API 也是非常简单；其基本功能点如下图所示：
Authentication ：身份认证/登录，验证用户是不是拥有相应的身份；
Authorization： ：授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是否具有某个权限；
Session Manager： ：会话管理，即用户登录后就是一次会话，在没有退出之前，它的所有信息都在会话中；会话可以是普通 JavaSE 环境的，也可以是如 Web 环境的；
Cryptography ：加密，保护数据的安全性，如密码加密存储到数据库，而不是明文存储；
Web Support ：Web 支持，可以非常容易的集成到 Web 环境；
Caching：缓存，比如用户登录后，其用户信息、拥有的角色/权限不必每次去查，这样可以提高效率；
Concurrency ：shiro 支持多线程应用的并发验证，即如在一个线程中开启另一个线程，能把权限自动传播过去；
Testing ：提供测试支持；
Run As ：允许一个用户假装为另一个用户（如果他们允许）的身份进行访问；
Remember Me： ：记住我，这个是非常常见的功能，即一次登录后，下次再来的话不用登录了。
注意:Shiro 不会去维护用户、维护权限；这 些需要我们 自己去 设计/ 提供 ； 然后通过
相应的 接口注入给 给 Shiro 即可。
shiro外部及内部结构:
具体参数配置什么意思可查看此文:Shiro完整教程, 附带各种配置
二、shiro简单使用
1.Idea穿件一个Maven项目
引入pom依赖:
<dependencies> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.2.3</version> </dependency> <dependency> <groupId>org.slf4j</groupId> <artifactId>slf4j-simple</artifactId> <version>1.6.1</version> </dependency> </dependencies>
2.任意创建一个包，在里面创建一个Tutorial类
package me.aihe;import org.slf4j.Logger; import org.slf4j.LoggerFactory; public class Tutorial { private static final transient Logger log = LoggerFactory.getLogger(Tutorial.class); public static void main(String[] args) { log.info("My First Apache Shiro Application"); System.exit(0); } }
3.使用Shiro
Shiro提供了一个通用的方案通过 INI 进行配置 ，当然也可以通过XML，YMAL，JSON等进行配置。
在resource目录下面，创建一个shiro.ini的文件。内容如下：
# ----------------------------------------------------------------------------- # Users and their (optional) assigned roles # username = password, role1, role2, ..., roleN # ----------------------------------------------------------------------------- [users] root = secret, admin guest = guest, guest presidentskroob = 12345, president darkhelmet = ludicrousspeed, darklord, schwartz aihe = aihe, goodguy, client # ----------------------------------------------------------------------------- # Roles with assigned permissions # roleName = perm1, perm2, ..., permN # ----------------------------------------------------------------------------- [roles] admin = * client = look:* goodguy = winnebago:drive:eagle5
4.引用Shiro.ini配置进行测试
现在改变我们的Tutorial类文件，内容如下
package me.aihe; import org.apache.shiro.SecurityUtils; import org.apache.shiro.authc.*; import org.apache.shiro.config.IniSecurityManagerFactory; import org.apache.shiro.mgt.SecurityManager; import org.apache.shiro.session.Session; import org.apache.shiro.subject.Subject; import org.apache.shiro.util.Factory; import org.slf4j.Logger; import org.slf4j.LoggerFactory; /** * Created by aihe on 2017/6/14. */ public class Tutorial { private static final transient Logger log = LoggerFactory.getLogger(Tutorial.class); public static void main(String[] args) { log.info("My First Apache Shiro Application"); //1. 这里的SecurityManager是org.apache.shiro.mgt.SecurityManager，而不是java.lang.SecurityManager // 加载配置文件 Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini"); //2.解析配置文件，并且返回一些SecurityManger实例 SecurityManager securityManager = factory.getInstance(); //3.设置SecurityManager到静态内存区，单例模式 SecurityUtils.setSecurityManager(securityManager); // 安全操作 Subject currentUser = SecurityUtils.getSubject(); // 在应用的当前会话中设置属性 Session session = currentUser.getSession(); session.setAttribute("key","value"); //当前我们的用户是匿名的用户，我们尝试进行登录， if (!currentUser.isAuthenticated()){ UsernamePasswordToken token = new UsernamePasswordToken("aihe", "aihe"); //this is all you have to do to support 'remember me' (no config - built in!): token.setRememberMe(true); //尝试进行登录用户，如果登录失败了，我们进行一些处理 try{ currentUser.login(token); //当我们获登录用户之后 log.info("User [" + currentUser.getPrincipal() + "] logged in successfully."); // 查看用户是否有指定的角色 if ( currentUser.hasRole( "client" ) ) { log.info("Look is in your role" ); } else { log.info( "....." ); } // 查看用户是否有某个权限 if ( currentUser.isPermitted( "look:desk" ) ) { log.info("You can look. Use it wisely."); } else { log.info("Sorry, you can't look."); } if ( currentUser.isPermitted( "winnebago:drive:eagle5" ) ) { log.info("You are permitted to 'drive' the 'winnebago' with license plate (id) 'eagle5'. " + "Here are the keys - have fun!"); } else { log.info("Sorry, you aren't allowed to drive the 'eagle5' winnebago!"); } //登出 currentUser.logout(); } catch ( UnknownAccountException uae ) { //账户不存在的操作 } catch ( IncorrectCredentialsException ice ) { //密码不正确 } catch ( LockedAccountException lae ) { //用户被锁定了 } catch ( AuthenticationException ae ) { //无法判断的情形 } } System.exit(0); } }
这个相对来说是一个简单的程序，但也证明了一些shiro的基本用法，我们可以通过shiro进行认证，权限控制等
三、身份验证
身份验证，即在应用中谁能证明他就是他本人。一般提供如他们的身份 ID 一些标识信息来表明他就是他本人，如提供身份证，用户名/密码来证明。
在 shiro 中，用户需要提供 principals （身份）和 credentials（证明）给 shiro，从而应用能验证用户身份：
principals：身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。
一个主体可以有多个 principals，但只有一个 Primary principals，一般是用户名/密码/手机号。
credentials：证明/凭证，即只有主体知道的安全值，如密码/数字证书等。
最常见的 principals 和 credentials 组合就是用户名/密码了。接下来先进行一个基本的身份认证。
另外两个相关的概念是之前提到的 Subject 及 Realm，分别是主体及验证主体的数据源。
3.1.环境准备
1.引入pom依赖( junit、common-logging 及 shiro-core 依赖)
<dependencies> <dependency> <groupId>junit</groupId> <artifactId>junit</artifactId> <version>4.9</version> </dependency> <dependency> <groupId>commons-logging</groupId> <artifactId>commons-logging</artifactId> <version>1.1.3</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.2.2</version> </dependency> </dependencies>
3.2.登录/退出
1.原理:
使用** FormAuthenticationFilter过滤器实现, 原理如下:
1.用户没有认证时, 就会请求 loginurl进行认证, 用户身份和用户密码提交数据到loginurl地址.
2.数据提交到 loginurl 地址后, 由 FormAuthenticationFilter进行拦截, 并取出 request 中的username 和 password.
3.然后 FormAuthenticationFilter** 会调用 realm, 在进行调用时会传入一个 token, 也就是会传入username 和 password.
4.最后 realm 认真时根据 username 查询用户信息.例如我们之前查询了用户菜单和 url.
如果查询不到, realm 返回 null, ** FormAuthenticationFilter**向 request 域填充一个参数, 这个参数记录了异常信息.
2.实现
//登陆提交地址，和applicationContext-shiro.xml中配置的loginurl一致 @RequestMapping("login") public String login(HttpServletRequest request)throws Exception{ //如果登陆失败从request中获取认证异常信息，shiroLoginFailure就是shiro异常类的全限定名 String exceptionClassName = (String) request.getAttribute("shiroLoginFailure"); //根据shiro返回的异常类路径判断，抛出指定异常信息 if(exceptionClassName!=null){ if (UnknownAccountException.class.getName().equals(exceptionClassName)) { //最终会抛给异常处理器 throw new CustomException("账号不存在"); } else if (IncorrectCredentialsException.class.getName().equals( exceptionClassName)) { throw new CustomException("用户名/密码错误"); } else if("randomCodeError".equals(exceptionClassName)){ throw new CustomException("验证码错误 "); }else { throw new Exception();//最终在异常处理器生成未知错误 } } //此方法不处理登陆成功（认证成功），shiro认证成功会自动跳转到上一个请求路径 //登陆失败还到login页面 return "login"; }
这里一定要注意我们写的这个 login() 方法, 只是负责处理认证失败的结果, 如果用户认证成功那么就会跳转到上一个请求路径.
什么是上一个请求路径呢?
答: 如果你要访问 xxxx.jsp 但是 shiro 发现你还没有登录, 就会进行拦截, 并跳转到登录界面例如login.jsp, 当认证成功后会跳转到xxxx.jsp
3.退出
不用我们实现退出, 只要访问一个退出 url, 由LogoutFilter拦截住, 清除 session
/logout.action = logout
4.从 Shiro 的 session 中获取认证信息
//因为我们用过 Shiro 用户认证后是存放在 Shiro 的 session 中. Subject subject = SecurityUtils.getSubject(); //取出身份信息 subject.getPrincipal();
