2. 程式人生 > >shiro框架之四------在web中使用shiro

shiro框架之四------在web中使用shiro

阿新 • • 發佈：2018-12-12

官網：https://shiro.apache.org/

 

1. 下載
在Maven專案中的依賴配置如下：

複製程式碼

<!-- shiro配置 -->
<dependency>
　　<groupId>org.apache.shiro</groupId>
   <artifactId>shiro-core</artifactId>
   <version>1.3.2</version>
</dependency>
<dependency>
   <groupId>org.apache.shiro</groupId>
   <artifactId>shiro-web</artifactId>
   <version>1.3.2</version>
</dependency>

<!-- 配置日誌元件 -->
<dependency>
   <groupId>org.slf4j</groupId>
   <artifactId>slf4j-api</artifactId>
   <version>1.7.25</version>
</dependency>
<dependency>
   <groupId>org.slf4j</groupId>
   <artifactId>slf4j-jcl</artifactId>
   <version>1.7.25</version>
</dependency>
<dependency>
　　<groupId>commons-logging</groupId>
　　<artifactId>commons-logging</artifactId>
　　<version>1.2</version>
</dependency>

複製程式碼

特別地！Shiro使用了日誌框架slf4j，因此需要對應配置指定的日誌實現元件，如：log4j，logback等。
而且，由於shiro-web元件使用apache commons logging元件中的工具類，所以在專案中必須新增commongs logging元件。
否則，程式啟動時將會報錯：

複製程式碼

java.lang.NoClassDefFoundError: org/apache/commons/logging/LogFactory
at org.apache.commons.beanutils.ConvertUtilsBean.<init>(ConvertUtilsBean.java:157)
at org.apache.commons.beanutils.BeanUtilsBean.<init>(BeanUtilsBean.java:117)
at org.apache.commons.beanutils.BeanUtilsBean$1.initialValue(BeanUtilsBean.java:68)
at org.apache.commons.beanutils.ContextClassLoaderLocal.get(ContextClassLoaderLocal.java:153)
at org.apache.commons.beanutils.BeanUtilsBean.getInstance(BeanUtilsBean.java:80)
at org.apache.commons.beanutils.PropertyUtilsBean.getInstance(PropertyUtilsBean.java:114)
at org.apache.commons.beanutils.PropertyUtils.getPropertyDescriptor(PropertyUtils.java:460)
at org.apache.shiro.config.ReflectionBuilder.isTypedProperty(ReflectionBuilder.java:409)
at org.apache.shiro.config.ReflectionBuilder.applyProperty(ReflectionBuilder.java:702)
at org.apache.shiro.config.ReflectionBuilder.applySingleProperty(ReflectionBuilder.java:364)
at org.apache.shiro.config.ReflectionBuilder.applyProperty(ReflectionBuilder.java:325)
at org.apache.shiro.config.ReflectionBuilder$AssignmentStatement.doExecute(ReflectionBuilder.java:955)
at org.apache.shiro.config.ReflectionBuilder$Statement.execute(ReflectionBuilder.java:887)
at org.apache.shiro.config.ReflectionBuilder$BeanConfigurationProcessor.execute(ReflectionBuilder.java:765)
at org.apache.shiro.config.ReflectionBuilder.buildObjects(ReflectionBuilder.java:260)
at org.apache.shiro.config.IniSecurityManagerFactory.buildInstances(IniSecurityManagerFactory.java:167)
at org.apache.shiro.config.IniSecurityManagerFactory.createSecurityManager(IniSecurityManagerFactory.java:130)
at org.apache.shiro.config.IniSecurityManagerFactory.createSecurityManager(IniSecurityManagerFactory.java:108)
at org.apache.shiro.config.IniSecurityManagerFactory.createInstance(IniSecurityManagerFactory.java:94)
at org.apache.shiro.config.IniSecurityManagerFactory.createInstance(IniSecurityManagerFactory.java:46)
at org.apache.shiro.config.IniFactorySupport.createInstance(IniFactorySupport.java:123)
at org.apache.shiro.util.AbstractFactory.getInstance(AbstractFactory.java:47)
at org.apache.shiro.web.env.IniWebEnvironment.createWebSecurityManager(IniWebEnvironment.java:203)
....

複製程式碼

 

2.整合Shiro
在Java Web應用中使用Shiro，需要特別的整合方式，不再像在非Web環境的獨立應用中使用Shiro那麼簡單（只需要下載Shiro並新增到專案即可）。
通常，在Java Web應用中整合框架都是從配置web.xml開始的，整合Shiro也不例外。
web.xml：

複製程式碼

<listener>
    <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
</listener>

<filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>FORWARD</dispatcher>
    <dispatcher>INCLUDE</dispatcher>
    <dispatcher>ERROR</dispatcher>
</filter-mapping>

複製程式碼

通常，在Java Web應用中整合第三方框架，都是從Filter開始。Shiro也是如此，即需要將所有請求都經過Shiro指定的Filter進行攔截，這樣才能完成使用者對指定資源訪問的授權驗證。
特別地，從Shiro 1.2+版本之後，在Java Web應用中整合Shiro非常簡單，甚至都不需要明確指定shiro配置檔案的路徑，而是直接在web.xml中新增org.apache.shiro.web.env.EnvironmentLoaderListener即可（只需要保證在${webapp}/WEB-INF/目錄下存在檔案shiro.ini）。

 

3. 資料來源配置
在Shiro中，Realm定義了訪問資料的方式，用來連線不同的資料來源，如：LDAP，關係資料庫，配置檔案等等。
Realm類圖：

也就是說，可以根據實際需求及應用的許可權管理複雜度靈活選擇指定資料來源。
在此，以org.apache.shiro.realm.text.IniRealm為例，具體配置如下：
shiro.ini：

複製程式碼

[main]
# 自定義過濾器
sessionFilter = org.chench.test.shiroweb.filter.SessionFilter
authc.loginUrl = /index
ssl.enabled = false

# -----------------------------------------------------------------------------
# Users and their (optional) assigned roles
# username = password, role1, role2, ..., roleN
# -----------------------------------------------------------------------------
[users]
root = secret, admin
guest = guest, guest
presidentskroob = 12345, president
darkhelmet = ludicrousspeed, darklord, schwartz
lonestarr = vespa, goodguy, schwartz

# -----------------------------------------------------------------------------
# Roles with assigned permissions
# roleName = perm1, perm2, ..., permN
# -----------------------------------------------------------------------------
[roles]
admin = *
schwartz = lightsaber:*
goodguy = winnebago:drive:eagle5

# -----------------------------------------------------------------------------
# The format of each line in the urls section is as follows:
# _URL_Ant_Path_Expression_ = _Path_Specific_Filter_Chain_
# -----------------------------------------------------------------------------
[urls]
/index = anon, sessionFilter
/user/signin = anon
/user/login = anon
/user/** = authc
/home/** = authc
#/admin/** = authc, roles[administrator]
#/rest/** = authc, rest
#/remoting/rpc/** = authc, perms["remote:invoke"]

複製程式碼

 

4. 認證
在Shiro中，認證即執行使用者登入，讀取指定Realm連線的資料來源，以驗證使用者身份的有效性與合法性。
關於Shiro在Web應用中的認證流程，與Shiro在非Web環境的獨立應用中的認證流程一樣，都需要執行使用者登入，即：

複製程式碼

Subject currentUser = SecurityUtils.getSubject();
if(!currentUser.isAuthenticated()) {
　　UsernamePasswordToken token = new UsernamePasswordToken(name, password);
　　try {
　　　　currentUser.login(token);
　　} catch (UnknownAccountException e) {
       exception = e;
       logger.error(String.format("user not found: %s", name), e);
    } catch(IncorrectCredentialsException e) {
       exception = e;
       logger.error(String.format("user: %s pwd: %s error", name, password), e);
    } catch (ConcurrentAccessException e) {
       exception = e;
       logger.error(String.format("user has been authenticated: %s", name), e);
    } catch (AuthenticationException e) {
       exception = e;
       logger.error(String.format("account except: %s", name), e);
    }
}

複製程式碼

唯一的區別就是，在Java Web環境中，使用者名稱和密碼引數是通過前端頁面進行傳遞。

 

5. 授權
需要再三強調！！！Shiro作為許可權框架，僅僅只能控制對資源的操作許可權，並不能完成對資料許可權的業務需求。
而對於Java Web環境下Shiro授權，包含個方面的含義。
其一，對於前端來說，使用者只能看到他對應訪問許可權的元素。
其二，當用戶執行指定操作（即：訪問某個uri資源）時，需要驗證使用者是否具備對應許可權。

對於第一點，在Java Web環境下，通過Shiro提供的JSP標籤實現。

<shiro:hasRole name="admin">
    <a>使用者管理</a>
</shiro:hasRole>
<shiro:hasPermission name="winnebago:drive:eagle5">
    <a>操作審計</a>
</shiro:hasPermission>

必須在jsp頁面中引入shiro標籤庫：

<%@ taglib prefix="shiro" uri="http://shiro.apache.org/tags" %>

 

對於第二點，與在非Java Web環境下一樣，需要在後端呼叫API進行許可權（或者角色）檢驗。如果在Spring框架中整合Shiro，還可以直接通過Java註解方式實現。
api呼叫：

String roleAdmin = "admin";
Subject currentUser = SecurityUtils.getSubject();
if(!currentUser.hasRole(roleAdmin)) {
    //todo something
}

 

6. 完整示例
詳見：https://git.oschina.net/cchanghui/test-shiroweb.git

相關推薦

shiro框架之四------在web中使用shiro

官網：https://shiro.apache.org/   1. 下載 在Maven專案中的依賴配置如下： <!-- shiro配置 --> <dependency> 　　<groupId>org.apache.shiro</g

shiro框架之五-----在spring框架中使用shiro

1. 下載 在Maven專案中的依賴配置如下： <!-- shiro配置 --> <dependency> 　　<groupId>org.apache.shiro</groupId> <artifactId>shiro-co

shiro框架之七------快取

官網：https://shiro.apache.org/ 一. 概述 Shiro作為一個開源的許可權框架，其元件化的設計思想使得開發者可以根據具體業務場景靈活地實現許可權管理方案，許可權粒度的控制非常方便。 首先，我們來看看Shiro框架的架構圖： 從上圖我們可以很清晰地看到，Cach

shiro框架之六-------session管理

官網：https://shiro.apache.org/ 我們先來看一下shiro中關於Session和Session Manager的類圖。 如上圖所示，shiro自己定義了一個新的Session介面，用於統一操作介面，並通過SessionManager實現Session管理。 其中的3

shiro框架之二------架構元件

官網：https://shiro.apache.org/ Shiro主要元件包括：Subject，SecurityManager，Authenticator，Authorizer，SessionManager，CacheManager，Cryptography，Realms。 1. S

shiro框架之八-------自定義filter

寫在前面 我們知道，shiro框架在Java Web應用中使用時，本質上是通過filter方式整合的。 也就是說，它是遵循過濾器鏈規則的：filter的執行順序與在web.xml中定義的順序一致，如下所示： <filter> <filter-name>s

【Shiro】Apache Shiro架構之整合web

　　前面兩節內容介紹了Shiro中是如何進行身份和許可權的認證，但是隻是單純的進行Shiro的驗證，簡單一點的話，用的是.ini配置檔案，也舉了個使用jdbc realm的例子，這篇博文主要來總結一下Shiro是如何整合web的，即如何用在web工程中。寫在前面：本文沒有使用

shiro框架之整合驗證碼 二十二

在做使用者登入功能時，很多時候都需要驗證碼支援，驗證碼的目的是為了防止機器人模擬真實使用者登入而惡意訪問，如暴力破解使用者密碼/惡意評論等。目前也有一些驗證碼比較簡單，通過一些OCR工具就可以解析出來；另外還有一些驗證碼比較複雜（一般通過如扭曲、加線條/噪點等干擾）防止OC

Django框架 之 基於Ajax中csrf跨站請求偽造

set lin cells ret body div nta java val ajax中csrf跨站請求偽造 方式一 1 2 3 $.ajaxSetup({ data: {csrfmiddlewaretoken: ‘{{ csrf_token

Django框架之template(模板)中的安全機制

當專案執行過程中的Html頁面獲取來自Views中的資料時，獲取到的資料存在HTML轉義的特性： 在使用template模板語言時，需要注意的是{{ }}用於載入變數，而{% %}用於載入語句 正常：{{ str_data}}  ,   safe機制：{{ str_dat

Java基礎之Java Web中 什麼是重定向和轉發？如何選擇使用重定向還是轉發？

1.重定向和轉發的區別是什麼？ 重定向是兩次請求，轉發是一次請求，因此轉發的速度要快於重定向。 重定向之後位址列上的地址會發生變化，變化成第二次請求的地址，轉發之後位址列上的地址不會變化，還是第一次請求的地址。 重點：重定向和請求轉發之後的程式碼都會執行，直到方法結束或者遇到

從壹開始前後端分離【 .NET Core2.0 +Vue2.0 】框架之四 || Swagger的使用 3.2

更新 如果想直接在域名的根目錄直接載入 swagger 比如訪問：localhost:8001 就能訪問，可以這樣設定： app.UseSwaggerUI(c => { c.SwaggerEndpoint("/swagger/v1/swagger.json", "ApiHelp

Gitlab管理之四–Gitlab中使用者許可權管理

1. 使用管理員開啟要設定許可權的專案。 2. 點選【Settings】–【Members】 3. 新增完成後，如下圖所示。 4. 下表完整的列出了Guest,Reporte

shiro框架學習筆記(3)---使用shiro完成登陸認證

  在shiro框架中，未登入就是未認證，登陸了才算認證，認證後只能使用一些基本許可權，使用更多的許可權需要授權，認證和授權是不同的概念。 一、UserAction中的相關程式碼 public String login(){ //從Session中獲取生成的

從零開始搭建前後端分離的NetCore2.2（EF Core CodeFirst+Autofac）+Vue的專案框架之四Nlog記錄日誌至資料庫

　　為什麼要進行日誌記錄呢？為什麼要存至資料庫呢？只能說日誌記錄是每個系統都應當有的。 　　好的日誌記錄方式可以提供我們足夠多定位問題的依據。查詢系統或軟體或專案的錯誤或異常記錄。程式在執行時就像一個機器人，我們可以從所記錄的日誌看出它正在做什麼，是不是按預期的設計在做，用來判斷執行狀態是否是正常的。 　　日

Spring框架之spring-web http原始碼完全解析

Spring框架之spring-web http原始碼完全解析         Spring-web是Spring webMVC的基礎，由http、remoting、web三部分組成。         http：封裝了http協議

Shiro許可權管理框架（四）：深入分析Shiro中的Session管理

其實關於Shiro的一些學習筆記很早就該寫了，因為懶癌和拖延症晚期一直沒有落實，直到今天公司的一個專案碰到了在叢集環境的單點登入頻繁掉線的問題，為了解決這個問題，Shiro相關的文件和教程沒少翻。最後問題解決了，但我覺得我也是時候來做一波Shiro學習筆記了。 本篇是Shiro系列第四篇，Shiro中的過濾器

web項目整合Shiro框架

dtd con ron package ini 認證 utf ide -type 1、修改pom.xml文件 　　<dependency> <groupId>org.apache.shiro</groupId>

Shiro安全框架之權限認證（授權）

實例 reat trace () onf 而不是 ocs log logout 第一講、權限認證核心要素 權限認證，也就是訪問控制，即在應用中控制誰能訪問哪些資源。 在權限認證中，最核心的三個要素是：權限，角色和用戶； Authorization has three co

Shiro框架在CORS跨域訪問中遇到的問題及解決

背景 最近做一個前後端分離的專案時,使用shiro做許可權管理時遇到跨域問題，這裡做一下記錄。   原因 後端通過Shiro配置URL過濾, shiroFilterFactoryBean.setLoginUrl("/unauth"); 預設對於沒有授權的訪問