第二章 身份验证 （二） Realm + Authenticator及AuthenticationStrategy

Realm：域，Shiro 从从Realm获取安全数据（如用户、角色、权限），就是说SecurityManager要验证用户身份，那么它需要从Realm获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm得到用户相应的角色/权限进行验证用户是否能进行操作；可以把Realm看成DataSource ， 即安全数据源。如我们之前的ini 配置方式将使用org.apache.shiro.realm.text.IniRealm。

org.apache.shiro.realm.Realm接口如下：

String getName(); //返回一个唯一的Realm名字boolean supports(AuthenticationToken token); //判断此Realm是否支持此TokenAuthenticationInfo getAuthenticationInfo(AuthenticationToken token) throws AuthenticationException; //根据Token获取认证信息

一、单Ream配置

1. 自定义Realm实现

public class MyRealm1 implements Realm{/* * 返回一个唯一的Realm名字 */public String getName() {return "myrealm1";}/* * 判断此Realm是否支持此Token */public boolean supports(AuthenticationToken token) {//仅支持UsernamePasswordToken类型的Tokenreturn token instanceof UsernamePasswordToken;}/* * 根据Token获取认证信息 */public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) {String username = (String) token.getPrincipal();//得到用户名String password = new String((char[])token.getCredentials());//得到密码if(!"zhang".equals(username)){throw new UnknownAccountException();//如果用户名错误}if(!"123".equals(password)){throw new IncorrectCredentialsException();//如果密码错误}//如果身份认证验证成功，返回一个AuthenticationInfo实现return new SimpleAuthenticationInfo(username,password,getName());}}

2. ini配置文件指定自定义Realm实现(shiro-realm.ini)

#声明一个realmmyRealm1=chapter2.realm.MyRealm1#指定securityManager的realms实现securityManager.realms=$myRealm1

3. 测试

public class LoginLogoutTest {@Testpublic void testHelloworld(){//1. 获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManagerFactory<org.apache.shiro.mgt.SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-realm.ini");//2. 得到SecurityManager实例，并绑定给SecurityUtilsSecurityManager securityManager = factory.getInstance();SecurityUtils.setSecurityManager(securityManager);//3. 得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证），会自动绑定到当前线程。Subject subject = SecurityUtils.getSubject();UsernamePasswordToken token = new UsernamePasswordToken("zhang","123");try {//4. 登录，即身份验证subject.login(token);} catch (AuthenticationException e) {//5. 身份验证失败}Assert.assertEquals(true, subject.isAuthenticated());//6. 退出subject.logout();}}

二、多Realm配置

1. ini配置文件（shiro-multi-realm.ini）

#声明一个realmmyRealm1=chapter2.realm.MyRealm1myRealm2=chapter2.realm.MyRealm2#指定securityManager的realms实现securityManager.realms=$myRealm1,$myRealm2

securityManager会按照realms指定的顺序进行身份认证。如果设置“securityManager.realms=$myRealm1”，那么myRealm2 不会被自动设置进去。

三、Shiro默认提供的Realm

一般继承AuthorizingRealm（授权）即可；其继承了AuthenticatingRealm（即身份验证），而且也间接继承了CachingRealm（带有缓存实现）

主要默认实现如下:

org.apache.shiro.realm.text.IniRealm：IniRealm：[users]部分指定用户名/密码及其角色；[roles]部分指定角色即权限信息；

org.apache.shiro.realm.text.PropertiesRealm：user.username=password,role1,role2指定用户名/密码及其角色；role.role1=permission1,permission2指定角色及权限信息

org.apache.shiro.realm.jdbc.JdbcRealm：通过sql查询相应的信息，如“select password from users where username = ?”获取用户密码，“select password, password_salt from users where username = ?”获取用户密码及盐；“select role_name from user_roles where username = ?” 获取用户角色；“select permission from roles_permissions where role_name = ?”获取角色对应的权限信息；也可以调用相应的api进行自定义sql；

四、JDBC Realm使用

材料：MySql + C3P0

1. 数据准备

到数据库shiro 下建三张表：users（用户名/密码）、user_roles（用户/角色）、roles_permissions（角色/权限），并添加一个用户记录，用户名/密码为zhang/123；

drop database if exists shiro;create database shiro;use shiro;create table users (  id bigint auto_increment,  username varchar(100),  password varchar(100),  password_salt varchar(100),  constraint pk_users primary key(id)) charset=utf8 ENGINE=InnoDB;create unique index idx_users_username on users(username);create table user_roles(  id bigint auto_increment,  username varchar(100),  role_name varchar(100),  constraint pk_user_roles primary key(id)) charset=utf8 ENGINE=InnoDB;create unique index idx_user_roles on user_roles(username, role_name);create table roles_permissions(  id bigint auto_increment,  role_name varchar(100),  permission varchar(100),  constraint pk_roles_permissions primary key(id)) charset=utf8 ENGINE=InnoDB;create unique index idx_roles_permissions on roles_permissions(role_name, permission);insert into users(username,password)values('zhang','123');

2. shiro-jdbc-realm.ini

jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealmdataSource=com.mchange.v2.c3p0.ComboPooledDataSourcedataSource.driverClass=com.mysql.jdbc.DriverdataSource.jdbcUrl=jdbc:mysql://localhost:3306/shirodataSource.user=rootdataSource.password=123456jdbcRealm.dataSource=$dataSourcesecurityManager.realms=$jdbcRealm

3. 测试代码和上例相同，只用修改对应的realm.ini文件即可。


五、Authenticator及AuthenticationStrategy

Authenticator的职责是验证用户帐号，是Shiro API中身份验证核心的入口点：

public AuthenticationInfo authenticate(AuthenticationToken authenticationToken) throws AuthenticationException;

如果验证成功，将返回AuthenticationInfo 验证信息；此信息中包含了身份及凭证；如果验证失败将抛出相应的AuthenticationException实现。

SecurityManager接口继承了Authenticator，另外还有一个ModularRealmAuthenticator实现，其委托给多个Realm 进行验证，验证规则通过AuthenticationStrategy 接口指定，默认提供的实现：

FirstSuccessfulStrategy：只要有一个Realm验证成功即可，只返回第一个Realm身份验证成功的认证信息，其他的忽略；

AtLeastOneSuccessfulStrategy：只要有一个Realm验证成功即可，和FirstSuccessfulStrategy不同，返回所有Realm身份验证成功的认证信息；

AllSuccessfulStrategy：所有Realm验证成功才算成功，且返回所有Realm身份验证成功的认证信息，如果有一个失败就失败了。

ModularRealmAuthenticator默认使用AtLeastOneSuccessfulStrategy策略。

1. realm

假设我们有三个realm：

myRealm1： 用户名/密码为zhang/123时成功，且返回身份/凭据为zhang/123；（如下）

myRealm2： 用户名/密码为wang/123 时成功，且返回身份/凭据为wang/123；（和myRealm1相似）

myRealm3： 用户名/密码为zhang/123 时成功，且返回身份/凭据为[e-mail]/123，和myRealm1 不同的是返回时的身份变了；（和myRealm1相似）

public class MyRealm1 implements Realm{/* * 返回一个唯一的Realm名字 */public String getName() {return "myrealm1";}/* * 判断此Realm是否支持此Token */public boolean supports(AuthenticationToken token) {//仅支持UsernamePasswordToken类型的Tokenreturn token instanceof UsernamePasswordToken;}/* * 根据Token获取认证信息 */public AuthenticationInfo getAuthenticationInfo(AuthenticationToken token) {String username = (String) token.getPrincipal();//得到用户名String password = new String((char[])token.getCredentials());//得到密码if(!"zhang".equals(username)){throw new UnknownAccountException();//如果用户名错误}if(!"123".equals(password)){throw new IncorrectCredentialsException();//如果密码错误}//如果身份认证验证成功，返回一个AuthenticationInfo实现return new SimpleAuthenticationInfo(username,password,getName());}}

2. ini配置文件（shiro-authenticator-all-success.ini）

#指定securityManager的authenticator实现authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticatorsecurityManager.authenticator=$authenticator#指定securityManager.authenticator的authenticationStrategyallSuccessfulStrategy=org.apache.shiro.authc.pam.AllSuccessfulStrategysecurityManager.authenticator.authenticationStrategy=$allSuccessfulStrategymyRealm1=chapter2.realm.MyRealm1myRealm2=chapter2.realm.MyRealm2myRealm3=chapter2.realm.MyRealm3securityManager.realms=$myRealm1,$myRealm3

3. 测试代码

public class AuthenticatorTest {/* * 测试AllSuccessfulStrategy成功 */@Testpublic void testAllSuccessfulStrategyWithSuccess(){login("classpath:shiro-authenticator-all-success.ini");Subject subject = SecurityUtils.getSubject();//得到一个身份集合，其包含了Realm验证成功的身份信息PrincipalCollection principalCollection = subject.getPrincipals();Assert.assertEquals(2, principalCollection.asList().size());}/* * 测试AllSuccessfulStrategy失败 */@Testpublic void testAllSuccessfulStrategyWithFail(){login("classpath:shiro-authenticator-all-fail.ini");Subject subject = SecurityUtils.getSubject();//得到一个身份集合，其包含了Realm验证成功的身份信息PrincipalCollection principalCollection = subject.getPrincipals();Assert.assertEquals(2, principalCollection.asList().size());}public void login(String configFile){//1. 获取SecurityManager工厂，此处使用Ini配置文件初始化SecurityManagerFactory<SecurityManager> factory = new IniSecurityManagerFactory(configFile);//2. 得到SecurityManager实例，并绑定给SecurityUtilsSecurityManager securityManager = factory.getInstance();SecurityUtils.setSecurityManager(securityManager);//3. 得到Subject及创建用户名/密码身份验证Token（即用户身份/凭证）Subject subject = SecurityUtils.getSubject();UsernamePasswordToken token = new UsernamePasswordToken("zhang","123");subject.login(token);}}

上面是securityManager.authenticator.authenticationStrategy中对于AllSuccessfulStrategy的实现。但对于AtLeastOneSuccessfulStrategy和FirstSuccessfulStrategy的唯一不同点一个是返回所有验证成功的Realm 的认证信息；另一个是只返回第一个验证成功的Realm的认证信息。

4. 自定义AuthenticationStrategy实现，首先看其API：

//在所有Realm验证之前调用AuthenticationInfo beforeAllAttempts(Collection<? extends Realm> realms, AuthenticationToken token);//在每个Realm之前调用AuthenticationInfo beforeAttempt(Realm realm, AuthenticationToken token, AuthenticationInfo aggregate);//在每个Realm之后调用AuthenticationInfo afterAttempt(Realm realm, AuthenticationToken token,AuthenticationInfo singleRealmInfo, AuthenticationInfo aggregateInfo, Throwable t);//在所有Realm之后调用AuthenticationInfo afterAllAttempts(AuthenticationToken token, AuthenticationInfo aggregate);

因为每个AuthenticationStrategy 实例都是无状态的，所有每次都通过接口将相应的认证信息传入下一次流程；通过如上接口可以进行如合并/返回第一个验证成功的认证信息。自定义实现时一般继承org.apache.shiro.authc.pam.AbstractAuthenticationStrategy即可，具体可以参考代码com.github.zhangkaitao.shiro.chapter2.authenticator.strategy 包下OnlyOneAuthenticatorStrategy 和AtLeastTwoAuthenticatorStrategy。

到此基本的身份验证就搞定了，对于AuthenticationToken 、AuthenticationInfo和Realm的详细使用后续章节再陆续介绍