2025年5月9日 星期五 6:15pm

权限控制方案之——集成shiro

概述：

         上一篇文章中我们介绍的权限控制方案的实现方式是通过URL拦截实现的，这里介绍通过shiro实现权限控制。shiro是apache下的开源的权限管理框架。

Shiro架构：

        

         Subject：主体，是用户和程序的统一抽象。

         SecurityManager：安全管理器，认证和授权的核心处理类。

         Authenticator：认证器，主体认证的处理类。

         Authorizer：授权器，主体授权的处理类。

         SessionManager：shiro提供的一套session管理机制。

         SessionDao：对于session的存储需要用到sessionDao。

         CacheManager；缓存管理器，主要对session和相关数据进行缓存管理。

         Realm：通过realm间接连接数据源，认证和授权需要通过realm存取认证和授权数据。

         Cryptography：密码管理器，shiro提供的一套加密解密组建。

 

整合shiro

         实现方式：

         1、通过shiro默认的IniRealm实现（开发中一般不用该方式），该方式需要将认证和授权信息配置在一个ini文件中，shiro会默认通过IniRealm读取该文件信息，实现认证。

         2、通过自定义Realm实现（一般都需要自定义Realm），自定义的Realm可以自定义认证和授权信息获取的方式（例如从数据库中查询），自定义的Realm继承AuthorizingRealm。

         这里主要介绍通过自定义Realm实现认证和授权的方式。下面通过将shiro整合到项目中的过程来介绍shiro的基本用法和shiro的工作原理。

         整合过程：

         1、添加jar包

         主要包括：shiro和spring整合的jar包，shiro和web应用整合的jar包和shiro一些基本的包。

         2、配置shiro的filter

         上篇文章我们介绍通过URL拦截中用到了拦截器，shiro内部也是用到了filter拦截进行实现。

         配置信息：

         

  2. 	<filter>
  3. 		<filter-name>shiroFilterfilter-name>
  4. 		<filter-class>org.springframework.web.filter.DelegatingFilterProxyfilter-class>
  5. 		
  6. 		<init-param>
  7. 			<param-name>targetFilterLifecycleparam-name>
  8. 			<param-value>trueparam-value>
  9. 		init-param>
  10. 		
  11. 		<init-param>
  12. 			<param-name>targetBeanNameparam-name>
  13. 			<param-value>shiroFilterparam-value>
  14. 		init-param>
  15. 	filter>
  16. 	<filter-mapping>
  17. 		<filter-name>shiroFilterfilter-name>
  18. 		<url-pattern>/*url-pattern>
  19. 	filter-mapping>


         3、applicationContext-shiro.xml

         在applicationContext-shiro.xml中配置shiroFilter需要的Bean及其他相关配置。

         

  3. <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
  4. 	<property name="securityManager" ref="securityManager" />
  5. 	
  6. 	<property name="loginUrl" value="/login.action" />
  7. 	
  8. 	<property name="successUrl" value="/first.action"/>
  9. 	
  10. 	<property name="unauthorizedUrl" value="/refuse.jsp" />
  11. 	
  12. 	<property name="filters">
  13. 		<map>
  14. 			
  15. 			<entry key="authc" value-ref="formAuthenticationFilter" />
  16. 		map>
  17. 	property>
  18. 	
  19. 	
  20. 	<property name="filterChainDefinitions">
  21. 		<value>
  22. 			
  23. 			/images/** = anon
  24. 			/js/** = anon
  25. 			/styles/** = anon
  26. 			/validatecode.jsp = anon
  27. 			
  28. 			
  29. 			/logout.action = logout
  30. 			
  31. 			/items/queryItems.action = perms[item:query]
  32. 			/items/editItems.action = perms[item:edit]
  33. 			
  34. 			/** = authc
  35. 		value>
  36. 	property>
  37. bean>
  38.  
  40. <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
  41. 	<property name="realm" ref="customRealm" />
  42. 	
  43. 	<property name="cacheManager" ref="cacheManager"/>
  44. 	
  45. 	<property name="sessionManager" ref="sessionManager" />
  46. bean>
  47.  
  49. <bean id="customRealm" class="cn.itcast.ssm.shiro.CustomRealm">
  50. 	
  51. 	<property name="credentialsMatcher" ref="credentialsMatcher"/>
  52. bean>
  53.  
  55. <bean id="credentialsMatcher"
  56. 	class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
  57. 	<property name="hashAlgorithmName" value="md5" />
  58. 	<property name="hashIterations" value="1" />
  59. bean>
  60.  
  62. <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
  63.     	<property name="cacheManagerConfigFile" value="classpath:shiro-ehcache.xml"/>
  64. bean>
  65.  
  67. <bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
  68.     
  69.     <property name="globalSessionTimeout" value="600000"/>
  70.     
  71.     <property name="deleteInvalidSessions" value="true"/>
  72. bean>
  73.  
  76. <bean id="formAuthenticationFilter" 
  77. class="cn.itcast.ssm.shiro.CustomFormAuthenticationFilter ">
  78. 	
  79. 	<property name="usernameParam" value="username" />
  80. 	
  81. 	<property name="passwordParam" value="password" />
  82. bean>


         4、认证：

         实现原理：由上边的配置可知，当用户进行认证时，会去请求loginurl进行认证，中间FormAuthenticationFilter进行拦截，取出request中携带的username和password参数（注：这里默认为username和password，也可以自行配置），FormAuthenticationFilter会调用realm（自定义的吗？）进行认证，同时传给realm一个token参数，username和password封装在token中，realm会根据username查询用户信息，如果查询到则返回，如果查询不到则会返回null，这时FormAuthenticationFilter会向request中设置异常参数和信息。

         

  1. 	@Override
  2. 	protected AuthenticationInfo doGetAuthenticationInfo(
  3. 			AuthenticationToken token) throws AuthenticationException {
  4. 		
  5. 		//token中封装了用户输入的用户名和密码，从token中取出用户名
  6. 		String userCode = (String) token.getPrincipal();
  7.  
  8. 		//根据用户输入的userCode从数据库查询
  9. 		SysUser sysUser = null;
  10. 		try {
  11. 			sysUser = sysService.findSysUserByUserCode(userCode);
  12. 		} catch (Exception e1) {
  13. 			e1.printStackTrace();
  14. 		}
  15. 		// 如果查询不到返回null
  16. 		if(sysUser==null){
  17. 			//此处返回null，ModularRealmAuthenticator抛出UnknownAccountException（用户不存在）异常
  18. 			return null; 
  19. 		}
  20. 		//获取用户散列密码
  21. 		String password = sysUser.getPassword();
  22. 		//获取盐
  23. 		String salt = sysUser.getSalt();
  24. 		
  25. 		ActiveUser activeUser = new ActiveUser();
  26. 		activeUser.setUserid(sysUser.getId());
  27. 		activeUser.setUsercode(sysUser.getUsercode());
  28. 		activeUser.setUsername(sysUser.getUsername());
  29. 		
  30. 		List menus  = null;
  31. 		try {
  32. 			//根据用户id取出菜单
  33. 			menus = sysService.findMenuListByUserId(sysUser.getId());
  34. 		} catch (Exception e) {
  35. 			e.printStackTrace();
  36. 		}
  37. 		//用户菜单设置到activeUser
  38. 		activeUser.setMenus(menus);
  39. 		//将activeUser设置到simpleAuthenticationInfo返回
  40. 		SimpleAuthenticationInfo simpleAuthenticationInfo = new SimpleAuthenticationInfo(
  41. 				activeUser, password,ByteSource.Util.bytes(salt), this.getName());
  42. 		return simpleAuthenticationInfo;
  43. 	}


         5、登出

         对于登出可以不用去实现具体的退出操作，只需要访问一个指定的登出的url，因为中间会由LogoutFilter拦截，同时清除session数据。配置方式见applicationContext-shiro.xml中的logout配置

         6、授权配置

         说明：对于shiro的授权配置有三种方法：

                  1、通过配置文件进行配置。

                  2、通过注解进行配置。

                  3、通过jsp标签进行配置。

         对于配置文件的配置方式见applicationContext-shiro.xml中的授权配置部分。

         实现原理为：在用户请求到/users/deleteUser.action时会被PermissionsAuthorizationFilter拦截，filter根据配置发现需要“item:query”权限，这时PermissionAuthorizationFilter会调用realm从数据库中获取权限信息，如果发现用户拥有该权限会放行，如果发现没有会转到前边配置中指定的refuse.jsp页面。

         7、权限判断

         

  1. 	@Override
  2. 	protected AuthorizationInfo doGetAuthorizationInfo(
  3. 			PrincipalCollection principals) {
  4. 		
  5. 		//获取身份信息
  6. 		ActiveUser activeUser =  (ActiveUser) principals.getPrimaryPrincipal();
  7. 		
  8. 		List permissionList = null;
  9. 		try {
  10. 			//获取用户拥有的权限信息
  11. 			permissionList = sysService.findPermissionListByUserId(activeUser.getUserid());
  12. 		} catch (Exception e) {
  13. 			e.printStackTrace();
  14. 		}
  15. 		List permissions = new ArrayList();
  16. 		if(permissionList!=null){
  17. 			for(SysPermission sysPermission:permissionList){
  18. 				permissions.add(sysPermission.getPercode());
  19. 			}
  20. 		}
  21. 		
  22. 		//返回授权信息，将查询到的权限信息设置到simpleAuthorizationInfo中
  23. 		SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
  24. 		simpleAuthorizationInfo.addStringPermissions(permissions);
  25. 		return simpleAuthorizationInfo;
  26. 	}


         8、设置凭证匹配器

         由于在数据库中存放的密码是经过加密算法的散列值，所以在shiro也需要对取到的密码进行相同的加密算法才能进行密码比对，这里通过在配置文件中配置的凭证匹配器对加密算法进行配置，对于凭证匹配器的配置见applicationContext-shiro.xml。

         上边对于授权的方式我们使用的是通过配置文件进行实现的，但是这样的缺点在，URL和对应的权限成对配置，这样将造成很大的配置量，相对来说比较麻烦；下边我们说明一下如何通过注解的方式进行配置。

 

整合改进

         注解方式实现授权：

         上边介绍了对于shiro的授权配置有三种方式，上边的方式是通过配置文件的方式实现的，下边介绍一下如何通过注解方式和jsp标签方式进行授权配置。

         开启注解：

         由于注解方式内部使用了spring的AOP方式，所以需要首先开启spring的AOP，同时开启shiro的注解支持。配置如下：

         

  1. 	
  2. 	<aop:config proxy-target-class="true">aop:config>
  3. 	
  4. 	<bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
  5. 		<property name="securityManager" ref="securityManager" />
  6. 	bean>


         注解使用：

         注解的使用方式为，在需要进行权限控制的方法上添加相应注解，注解的写法为：

         @RequiresPermissions(“users:delete”)，表示执行此方法需要“users:delete”权限。


         Jsp标签实现授权：

         对于通过jsp标签实现授权需要引入shiro的自定义标签

         <%@ taglib uri="http://shiro.apache.org/tags" prefix="shiro" %>

         标签使用：shiro提供的标签很多，这里介绍其中几个：

         1、认证成功后可以显示的内容放在内。

         2、当用户有指定角色时才显示的内容放在"角色名"> 内

         3、当用户有指定的权限时才显示的内容放在"item:query">内

         在实际应用当中，通过注解和jsp标签的方式相对多些。


         引入缓存：

         对于上边的使用，无论是通过何种方式配置的权限，存在一个较大的问题是，对于权限的判断，每次都需要realm从数据库中查询权限信息进行比对，这样对系统的性能消耗是很大的，为了解决该问题，我们为shiro引入缓存处理，这样就只需要在用户第一次访问时去查询数据库，再后边就可以直接从缓存中取，这里使用的是ehcache。

         1、添加ehcache的jar包。

         2、配置cacheManager，需要将cacheManager注入到securityManager中，对于相关配置见applicationContext-shiro.xml。

         3、创建shiro-ehcache.xml，定义ehcache的使用方案，具体配置如下：

         

  1. <ehcache xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
  2. 	xsi:noNamespaceSchemaLocation="../config/ehcache.xsd">
  3. 	
  4. 	<diskStore path="F:\develop\ehcache" />
  5. 	<defaultCache 
  6. 		maxElementsInMemory="1000" 
  7. 		maxElementsOnDisk="10000000"
  8. 		eternal="false" 
  9. 		overflowToDisk="false" 
  10. 		diskPersistent="false"
  11. 		timeToIdleSeconds="120"
  12. 		timeToLiveSeconds="120" 
  13. 		diskExpiryThreadIntervalSeconds="120"
  14. 		memoryStoreEvictionPolicy="LRU">
  15. 	defaultCache>
  16. ehcache>

         其他

         shiro提供了在用户退出后缓存的自动清空处理，然而，在用户登录期间对用户的缓存进行更新处理，需要调用realm的clearCached方法对缓存进行清空。

 

总结：

         对于利用shiro对权限的控制和前边基于URL拦截的控制进行对比来说，shiro的控制功能更加强大一些，但是对于框架的依赖性大些，虽然shiro本身是不依赖与其他框架的，但是这里和项目整合还是依赖了spring框架，在使用shiro时如果使用注解的方式进行权限控制会更加方便和直观。这里主要介绍了shiro和项目整合中的基本用法，其中对于认证和授权的流程在后边进行介绍，这些只是shiro的一些基本用法，对于shiro的其他应用特点还有待继续了解和学习，也希望这篇文章可以对你有所帮助吧。

 

文章知识点与官方知识档案匹配，可进一步学习相关知识
Java技能树控制执行流程if-else148947 人正在系统学习中
注：本文转载自blog.csdn.net的任长江的文章"http://blog.csdn.net/rcj183419/article/details/68066162#"。版权归原作者所有，此博客不拥有其著作权，亦不承担相应法律责任。如有侵权，请联系我们删除。
复制链接
相关推荐
发表评论

评论记录：

未查询到任何数据！