shiro基础学习(二) shiro认证

来源：互联网发布：iphone4s可以用4g网络编辑：程序博客网时间：2024/06/06 09:17

转载自：http://www.cnblogs.com/yangang2013/p/5677717.html

一、shiro简介

shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证、权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。

以下是你可以用 Apache Shiro所做的事情:
(1)验证用户。
(2)对用户执行访问控制，如: 判断用户是否拥有角色admin，判断用户是否拥有访问的权限。
(3)在任何环境下使用Session API。例如CS程序。
(4)可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。
(5)单点登录(SSO)功能。
(6)"Remember Me"服务，类似购物车的功能，shiro官方建议开启。

二、shiro架构

(1)Subject

Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。

所有Subject 实例都必须绑定到一个SecurityManager上。我们与一个 Subject 交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。

Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。

(2)SecurityManager

SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。

(3)Authenticator

Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。

(4)Authorizer

Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

(5)Realm

Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

(6)sessionManager

sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

(7)SessionDAO

SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。

(8)CacheManager

CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

(9)Cryptography

Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

三、基本程序

1.认证流程

2.入门程序

(1)工程架构

(2)shiro-first.ini

通过shiro-first.ini配置文件初始化SecurityManager环境。

(3)代码实现

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
public class AuthenticationTest{
 
    // 用户登录和退出
    @Test
    public void testLogin(){
 
        // 创建SecurityManager工厂，通过init配置文件构造
        IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro-first.ini");
 
        // 创建SecurityManager
        SecurityManager securityManager = factory.createInstance();
 
        // 将SecurityManager设置到当前运行环境
        SecurityUtils.setSecurityManager(securityManager);
 
        // 从SecurityUtils里创建Subject
        Subject subject = SecurityUtils.getSubject();
 
        // 认证提交前准备token
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");
 
        try{
            // 执行认证提交
            subject.login(token);
        }catch(Exception e){
            e.printStackTrace();
        }
 
        // 是否认证通过
        boolean isAuthenticated = subject.isAuthenticated();
        System.out.println("是否认证通过: " + isAuthenticated);
 
        // 退出操作
        subject.logout();
 
        isAuthenticated = subject.isAuthenticated();
        System.out.println("是否认证通过: " + isAuthenticated);
    }
}

结果:

是否认证通过: true
是否认证通过: false

(4)认证流程

1、通过ini配置文件创建securityManager。
2、调用subject.login方法主体提交认证，提交的token。
3、securityManager进行认证，securityManager最终由ModularRealmAuthenticator进行认证。
4、ModularRealmAuthenticator调用IniRealm(给realm传入token) 去ini配置文件中查询用户信息。
5、IniRealm根据输入的token(UsernamePasswordToken)从shiro-first.ini查询用户信息，根据账号查询用户
    信息(账号和密码)如果查询到用户信息，就给ModularRealmAuthenticator返回用户信息(账号和密码)如果查
    询不到，就给ModularRealmAuthenticator返回null。
6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息如果返回的认证信息是null，
    ModularRealmAuthenticator抛出异常(org.apache.shiro.authc.UnknownAccountException)如果返回的认
    证信息不是null(说明inirealm找到了用户)，对IniRealm返回用户密码(在ini文件中存在)和 token中的密码进行对
    比，如果不一致抛出异常(org.apache.shiro.authc.IncorrectCredentialsException)。

三、自定义Realm

1.自定义Realm代码实现

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
/*
 * 自定义Realm
 */
public class CustomRealmextends AuthorizingRealm{
 
     
    //设置Realm名称
    @Override
    public void setName(String name){
        super.setName("customRealm");
    }
 
    //用于认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException{
         
        //1.从token取出用户身份信息
        String userCode = (String)token.getPrincipal();
         
        //2.根据用户userCode查询数据库
        //模拟从数据库查询到的密码
        String password = "123";
         
        //查询不到返回null
         
        //查询到返回认证信息
        SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userCode,password,this.getName());
         
        return authenticationInfo;
    }
 
    //用于授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){
         
        return null;
    }
 
}

2.配置Realm

3.测试代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
// 用户登录和退出
@Test
public void testCustomRealm(){
     
    // 创建SecurityManager工厂，通过init配置文件构造
    IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro-realm.ini");
     
    // 创建SecurityManager
    SecurityManager securityManager = factory.createInstance();
     
    // 将SecurityManager设置到当前运行环境
    SecurityUtils.setSecurityManager(securityManager);
     
    // 从SecurityUtils里创建Subject
    Subject subject = SecurityUtils.getSubject();
     
    // 认证提交前准备token
    UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");
     
    try{
        // 执行认证提交
        subject.login(token);
    }catch(Exception e){
        e.printStackTrace();
    }
     
    // 是否认证通过
    boolean isAuthenticated = subject.isAuthenticated();
     
    System.out.println("是否认证通过: " + isAuthenticated);
     
    // 退出操作
    subject.logout();
     
    isAuthenticated = subject.isAuthenticated();
    System.out.println("是否认证通过: " + isAuthenticated);
}

0 0