小白入門 Shrio 與 SSM 整合使用
阿新 • • 發佈：2018-11-09
目錄
2、shiro 的相關 jar 包和使用註解需要用到的 aspectj 包
一、Shrio 簡介
1、什麼是 shiro ？
- Apache 的強大靈活的開源安全框架
- 四大部分：認證（Authentication）、授權（Authorization）、企業回話管理（Session Management）、安全加密（Cryptography）
2、shiro 整體框架
3、shiro 認證和授權的過程
二、SSM 整合 Shiro
1、前提
準備一個 SSM 專案的環境：https://blog.csdn.net/weidong_y/article/details/80800191
新建一個數據庫，還有三張表：使用者表、使用者角色表、角色許可權表。
2、shiro 的相關 jar 包和使用註解需要用到的 aspectj 包
<!-- shiro 相關依賴 --> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>1.2.2</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-web</artifactId> <version>1.2.2</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>1.2.2</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-ehcache</artifactId> <version>1.2.2</version> </dependency> <!-- aop 註解包 --> <dependency> <groupId>org.aspectj</groupId> <artifactId>aspectjweaver</artifactId> <version>1.8.13</version> </dependency>
3、自定義 Realm
自定義的 Realm 是繼承了 AuthorizingRealm 類，然後實現這個類下的兩個方法：doGetAuthorizationInfo() 和 doGetAuthenticationInfo() 。程式碼中帶有註釋，就不一一解說功能了。
package com.shiro.realm;
import com.pojo.Users;
import com.service.RolesPermissionsService;
import com.service.UserRolesService;
import com.service.UserService;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.crypto.hash.Md5Hash;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.util.ByteSource;
import org.springframework.beans.factory.annotation.Autowired;
import java.util.*;
public class CustomRealm extends AuthorizingRealm {
@Autowired
private UserService userService;
@Autowired
private UserRolesService userRolesService;
@Autowired
private RolesPermissionsService rolesPermissionsService;
//授權
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
String userName = (String) principals.getPrimaryPrincipal();
Set<String> roles = getRolesByUsername(userName);
Set<String> permissions = getPermissionsByUserName(userName);
// 設定使用者的角色和許可權
SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
simpleAuthorizationInfo.setStringPermissions(permissions);
simpleAuthorizationInfo.setRoles(roles);
return simpleAuthorizationInfo;
}
//認證
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
// 1. 從主體傳過來的認證資訊中，獲得使用者名稱
String userName = (String)token.getPrincipal();
// 2. 通過使用者名稱到資料庫中獲取憑證
String password = getPasswordByUserName(userName);
if( password == null ){
return null;
}
SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userName,password,"customRealm");
// 將加入的 鹽 返回
authenticationInfo.setCredentialsSalt(ByteSource.Util.bytes(userName));
return authenticationInfo;
}
// 通過使用者名稱從資料庫中獲取當前使用者的許可權資料
private Set<String> getPermissionsByUserName(String userName) {
List<String> list = rolesPermissionsService.queryPermissionsByUserName(userName);
if( list != null ) {
Set<String> sets = new HashSet<>(list);
return sets;
}else{
return null;
}
}
// 通過使用者名稱從資料庫中獲取當前使用者的角色資料
private Set<String> getRolesByUsername(String userName) {
List<String> list = userRolesService.queryRolesByUserName(userName);
if( list != null ){
Set<String> sets = new HashSet<>(list);
return sets;
}else{
return null;
}
}
// 通過使用者名稱從資料庫中獲取當前使用者的密碼
private String getPasswordByUserName(String userName) {
Users user = userService.getUserByUserName(userName);
if( user != null ){
return user.getPassword();
}else{
return null;
}
}
public static void main(String[] args){
Md5Hash md5Hash = new Md5Hash("123456","Mark");
System.out.println(md5Hash);
}
}自定義的 Realm 中還有三個自定義的方法：getPermissionsByUserName() 和 getRolesByUsername() 和 getPasswordByUserName()。主要就是實現從資料庫獲取相應的資訊（呼叫服務層的介面）。getPermissionsByUserName() 根據使用者名稱獲取許可權，需要聯合兩張表查詢，沒辦法直接用 mybatis 實現，這裡就簡單介紹下，其他兩個介面直接貼服務層程式碼。
① getPermissionsByUserName() 方法中
服務層：
@Override
public List<String> queryPermissionsByUserName(String userName) {
return rolesPermissionsMapper.queryPermissionsByUserName(userName);
}dao層：
List<String> queryPermissionsByUserName(String userName);<select id="queryPermissionsByUserName" resultType="String">
select permission
from user_roles ur,roles_permissions rp
where ur.username = #{userName}
and ur.role_name = rp.role_name
GROUP BY permission
</select>② getRolesByUsername() 方法中
服務層：
@Override
public List<String> queryRolesByUserName(String userName) {
UserRolesExample example = new UserRolesExample();
example.createCriteria().andUsernameEqualTo(userName);
List<UserRoles> roleList = userRolesMapper.selectByExample(example);
List<String> list = new ArrayList<>();
for( int i=0; i<roleList.size(); i++ ){
list.add(roleList.get(i).getRoleName());
}
return list;
}③ getPasswordByUserName() 方法中
服務層：
@Override
public Users getUserByUserName(String userName) {
UsersExample example = new UsersExample();
example.createCriteria().andUsernameEqualTo(userName);
return usersMapper.selectByExample(example).get(0);
}4、shiro 的配置
在自己的 spring 配置下，新建兩個配置檔案 spring-shiro.xml 和 spring-aop.xml 用來存放 shiro 和 aop 註解的先關配置。下面是我的專案 spring 配置的目錄。僅供參考。
這樣配置的好處，就是在 web.xml 中整合 spring 的配置時候，可以直接只用泛型。
1）spring-shiro.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans-3.0.xsd"
default-lazy-init="true">
<!-- 建立 SecurityManager 物件-->
<bean class="org.apache.shiro.web.mgt.DefaultWebSecurityManager" id="securityManager">
<property name="realm" ref="realm"></property>
</bean>
<!-- 建立自定義 realm -->
<bean class="com.shiro.realm.CustomRealm" id="realm">
<property name="credentialsMatcher" ref="credentialsMatcher"></property>
</bean>
<!-- 設定加密演算法和加密的次數 -->
<bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher" id="credentialsMatcher">
<property name="hashAlgorithmName" value="md5"></property>
<property name="hashIterations" value="1"></property>
</bean>
<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"></property>
<!-- 配置使用者的登入頁面 -->
<property name="loginUrl" value="login.html"></property>
<!-- 配置使用者沒有許可權跳轉的頁面 -->
<property name="unauthorizedUrl" value="403.html"></property>
<!-- 過濾器鏈 -->
<property name="filterChainDefinitions">
<!-- anon 指定排除認證的 uri -->
<!-- authc 指定需要認證的 uri -->
<value>
/login.html = anon
/subLogin = anon
/* = authc
</value>
</property>
</bean>
</beans>2）spring-aop.xml
配置完 shiro 後，把 aop 的註解開啟。
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:aop="http://www.springframework.org/schema/aop"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans.xsd
http://www.springframework.org/schema/aop
http://www.springframework.org/schema/aop/spring-aop.xsd">
<!-- 開啟 AOP 註解模式 -->
<aop:config proxy-target-class="true" />
<!-- 配置 shiro 的註解 -->
<bean class="org.apache.shiro.spring.LifecycleBeanPostProcessor"></bean>
<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
<property name="securityManager" ref="securityManager"></property>
</bean>
</beans>
3）web.xml
需要在 web.xml 中配置下 shiro 的過濾器。一般直接放在"post亂碼過慮器"後面較好。然後這裡的 shiroFilter 需要跟 spring-shiro.xml 中的 org.apache.shiro.spring.web.ShiroFilterFactoryBean 所建立的 bean 的 id 一樣。
<!-- shiro 過濾器 -->
<filter>
<filter-name>shiroFilter</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
<init-param>
<param-name>targetFilterLifecycle</param-name>
<param-value>true</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>shiroFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>五、驗證
到這裡，shiro 與 SSM 的整合就完成了。接下來我們編寫一個頁面和 Controller 來測試一下是否真的有用。
1、登入頁面 login.html
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
</head>
<body>
<form action="subLogin" method="post">
使用者名稱：<input type="text" name="username"><br>
密碼：<input type="password" name="password"><br>
<input type="submit" value="登入">
</form>
</body>
</html>2、控制層 UserController.java
@RequestMapping(value = "/subLogin",method = RequestMethod.POST,produces = "application/json;charset=utf-8")
@ResponseBody
public String subLogin(Users users){
Subject subject = SecurityUtils.getSubject();
UsernamePasswordToken token = new UsernamePasswordToken(users.getUsername(),users.getPassword());
try{
subject.login(token);
}catch (AuthenticationException e){
e.printStackTrace();
return e.getMessage();
}
// 通過程式碼的方式來判斷 當前使用者是否有 admin 角色許可權
// 角色許可權的判斷也可以通過註解的方式，參考下面的程式碼
if( subject.hasRole("admin") ){
return "有admin許可權";
}
return "無admin許可權";
}
// 通過註解的方式來判斷當前使用者是否有 user:select 的許可權
@RequiresPermissions("user:select")
@RequestMapping(value = "/testRole",method = RequestMethod.GET)
@ResponseBody
public String testRole(){
return "testRole success";
}啟動 tomcat 自己測試下就行了。
@RequiresPermissions 註解的3種用法。
//符合index:hello許可權要求
@RequiresPermissions("index:hello")
//必須同時複核index:hello和index:world許可權要求
@RequiresPermissions({"index:hello","index:world"})
//符合index:hello或index:world許可權要求即可
@RequiresPermissions(value={"index:hello","index:world"},logical=Logical.OR)推薦閱讀
Shiro 跳轉不到指定的錯誤頁面解決方法
有什麼問題可以在評論區留言！！！