一、shiro介紹

借用官方的話：Apache Shiro是一個功能強大、易於使用的Java安全框架，它常用於身份驗證、授權、加密和會話管理。Shiro的API易於理解，您可以快速輕鬆地保護任何應用程式——從小的移動應用程式到大的Web和企業應用程式。

二、spring boot整合shiro

1.maven資源

我使用的版本是1.4.0

        <!--shiro -->
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>${shiro.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>${shiro.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>${shiro.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-web</artifactId>
            <version>${shiro.version}</version>
        </dependency>
 

2.shiroConfig 配置類：註釋很詳細，緩衝如果不需要可以不要，shiro預設有一套快取規則。

package com.cn.iris.common.config;

import com.cn.iris.common.core.shiro.LoginRealm;
import org.apache.shiro.authc.credential.CredentialsMatcher;
import org.apache.shiro.authc.credential.SimpleCredentialsMatcher;
import org.apache.shiro.cache.CacheManager;
import org.apache.shiro.cache.ehcache.EhCacheManager;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.springframework.beans.factory.annotation.Qualifier;
import org.springframework.cache.ehcache.EhCacheManagerFactoryBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

import java.util.LinkedHashMap;
import java.util.Map;

/**
 * Author: IrisNew
 * Description: shiro 配置
 * Date: 2018/6/6 16:45
 */
@Configuration
public class ShiroConfig {

    /**
     * 快取管理器 使用Ehcache實現
     */
    @Bean
    public CacheManager getCacheShiroManager(EhCacheManagerFactoryBean ehcache) {
        EhCacheManager ehCacheManager = new EhCacheManager();
        ehCacheManager.setCacheManager(ehcache.getObject());
        return ehCacheManager;
    }

    /**
     * ShiroFilterFactoryBean 處理攔截資原始檔問題
     * 初始化ShiroFilterFactoryBean的時候需要注入：SecurityManager
     *
     */
    @Bean(name = "shiroFilter")
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") SecurityManager securityManager){
        ShiroFilterFactoryBean sfbBean = new ShiroFilterFactoryBean();
        sfbBean.setSecurityManager(securityManager);
        //設定預設登陸頁
        sfbBean.setLoginUrl("/welcome");
        //登陸成功後跳轉的url
        sfbBean.setSuccessUrl("/index");
        //設定許可權不足跳轉
        sfbBean.setUnauthorizedUrl("/403");
        //自定義過濾器
        /*Map<String, Filter> filters=new HashMap<>();
        filters.put("per",getPermissionFilter());
        filters.put("verCode",getVerfityCodeFilter());
        sfbBean.setFilters(filters);*/

        /** 配置訪問許可權
         * 過濾鏈定義，從上向下順序執行，一般將/**放在最為下邊
         * anon  不需要認證
         * authc 需要認證
         */
        Map<String, String> filterMap = new LinkedHashMap<>();
        filterMap.put("/css/**","anon");
        filterMap.put("/js/**","anon");
        filterMap.put("/welcome","anon");
        filterMap.put("/userlogin","anon");
        filterMap.put("/getVeCode","anon");
        filterMap.put("/logout","logout");
        filterMap.put("/plugin/**","anon");
        filterMap.put("/**","authc");
        sfbBean.setFilterChainDefinitionMap(filterMap);
        return sfbBean;
    }

    // 配置核心安全事務管理器
    @Bean(name = "securityManager")
    public SecurityManager securityManager(@Qualifier("loginRealm") LoginRealm loginRealm,CacheManager cacheShiroManager) {
        DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
        //自定義的許可權登入器
        manager.setRealm(loginRealm);
        //自定義的session管理器
//        manager.setSessionManager(sessionManager);
        //自定義快取策略
        manager.setCacheManager(cacheShiroManager);
        return manager;
    }

    //配置自定義的許可權登入器
    @Bean(name = "loginRealm")
    public LoginRealm getLoginRealm(){
        LoginRealm realm= new LoginRealm();
        realm.setCredentialsMatcher(credentialsMatcher());
        return realm;
    }

    // 配置自定義的密碼匹配比較器
    @Bean(name = "credentialsMatcher")
    public CredentialsMatcher credentialsMatcher() {
        return new SimpleCredentialsMatcher();
    }

    /**
     * 啟用shrio授權註解攔截方式，AOP式方法級許可權檢查
     */
    @Bean
    public AuthorizationAttributeSourceAdvisor getAuthorizationAttributeSourceAdvisor(@Qualifier("securityManager") SecurityManager securityManager){
        AuthorizationAttributeSourceAdvisor as=new AuthorizationAttributeSourceAdvisor();
        as.setSecurityManager(securityManager);
        return as;
    }
}
 

3.自定義Realm，這個是所有用shiro都需要自定義的。

其中userServiceImpl的findByAcc方法是用賬號查詢使用者實體返回；

role2menuService的getMenuCodesByRoleIds方法是用來查詢角色對應的所有選單及增刪改查許可權的。

package com.cn.iris.common.core.shiro;

import com.cn.iris.admin.entity.User;
import com.cn.iris.admin.service.IRole2menuService;
import com.cn.iris.admin.service.IUserService;
import org.apache.shiro.authc.*;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

import java.util.ArrayList;
import java.util.List;

/**
 * Author: IrisNew
 * Description: shiro許可權登入器
 * Date: 2018/6/8 16:14
 */
@Service
public class LoginRealm extends AuthorizingRealm {

  @Autowired
  private IUserService userServiceImpl;
  @Autowired
  private IRole2menuService role2menuService;

  // 認證.登入 提供賬戶資訊返回認證資訊
  /**
   * 當呼叫如下程式碼時會進入這個方法（一般是登入頁面）
   * Subject currentUser = SecurityUtils.getSubject();
   * currentUser.login(token);
   */
  @Override
  protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {

    UsernamePasswordToken token = (UsernamePasswordToken) authenticationToken; // 獲取使用者輸入的token

    //輸入的使用者名稱
    String userAcc = token.getUsername();
    User user = userServiceImpl.findByAcc(userAcc);

    if (user == null) {
      throw new UnknownAccountException("賬號或者密碼錯誤！");
    }
    return new SimpleAuthenticationInfo(user, user.getUserPsw(), getName());
  }

  // 授權
  // 提供使用者資訊返回許可權資訊
  @Override
  protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {

    // 獲取session中的使用者

    User user = (User) principalCollection.getPrimaryPrincipal();
    List<String> roIdsList = user.getRoleIds();
    List<String> permissionsList = role2menuService.getMenuCodesByRoleIds(roIdsList);

    SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
    info.addRoles(roIdsList);
    if(permissionsList != null && permissionsList.size()>0){
      info.addStringPermissions(permissionsList); // 將許可權放入shiro中.
    }
    return info;
  }

}
 

4.工具類，方便獲取當前登陸的session及Subject物件。

package com.cn.iris.common.core.shiro;

import com.cn.iris.admin.entity.User;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.session.Session;
import org.apache.shiro.subject.Subject;

/**
 * Author: IrisNew
 * Description:shiro工具類
 * Date: 2018/6/11 14:48
 */
public class ShiroUtil {

    /**
     * 獲取當前 Subject
     */
    public static Subject getSubject(){
        return SecurityUtils.getSubject();
    }

    /**
     * 獲取登陸使用者
     */
    public static User getUser(){
        return (User)getSubject().getPrincipals().getPrimaryPrincipal();
    }

    /**
     * 驗證使用者是否屬於某角色
     */
    public boolean hasRole(String roleName) {
        return getSubject() != null && roleName != null && roleName.length() > 0 && getSubject().hasRole(roleName);
    }

    /**
     * 驗證使用者是否擁有指定許可權
     */
    public boolean hasPermission(String permission) {
        Subject subject = getSubject();
        return getSubject() != null && permission != null
                && permission.length() > 0
                && getSubject().isPermitted(permission);
    }

    public static Session getSession(){
        return getSubject().getSession();
    }
}

5.登陸及登出呼叫（程式碼段）

    @GetMapping("/userlogin")
    public String index(HttpServletRequest request, String userAcc, String userPsw) {
        
        Subject subject = ShiroUtil.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(userAcc.trim(),userPsw);
        subject.login(token);

        User user = userServiceImpl.findByAcc(userAcc);
        if(user.getUserPsw().equals(userPsw)){
            logger.info("使用者登陸："+user.getNickName());
            return "redirect:/index";
        }
        return "login";
    }


    //跳轉至登陸頁
    @GetMapping("/logOut")
    public String logOut() {
        ShiroUtil.getSubject().logout();
        return "/login";
    }

前端頁面就不將程式碼貼出來了。

我本人的自己寫了個簡單的springboot專案，整合了shiro，是一套完整的專案管理類專案，開源免費。

感興趣的可以看看：Iris-開源的後臺管理類專案;希望能高臺貴手，給小弟一個star.感謝！