SpringBoot中整合Shiro实现权限管理的示例代码

2023-07-16 22:27:03 78

之前在SSM项目中使用过shiro，发现shiro的权限管理做的真不错，但是在SSM项目中的配置太繁杂了，于是这次在SpringBoot中使用了shiro，下面一起看看吧

一、简介

ApacheShiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

三个核心组件：

1、Subject

即“当前操作用户”。但是，在Shiro中，Subject这一概念并不仅仅指人，也可以是第三方进程、后台帐户（DaemonAccount）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。Subject代表了当前用户的安全操作，SecurityManager则管理所有用户的安全操作。

2、SecurityManager

它是Shiro框架的核心，典型的Facade模式，Shiro通过SecurityManager来管理内部组件实例，并通过它来提供安全管理的各种服务。

3、Realm

Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息。从这个意义上讲，Realm实质上是一个安全相关的DAO：它封装了数据源的连接细节，并在需要时将相关数据提供给Shiro。当配置Shiro时，你必须至少指定一个Realm，用于认证和（或）授权。配置多个Realm是可以的，但是至少需要一个。Shiro内置了可以连接大量安全数据源（又名目录）的Realm，如LDAP、关系数据库（JDBC）、类似INI的文本配置资源以及属性文件等。如果缺省的Realm不能满足需求，你还可以插入代表自定义数据源的自己的Realm实现。

二、整合shiro

1、引入maven依赖



org.springframework.boot
spring-boot-starter-web



org.springframework.boot
spring-boot-starter-thymeleaf



org.apache.shiro
shiro-spring
1.2.4



com.github.theborakompanioni
thymeleaf-extras-shiro
2.0.0

我使用的SpringBoot版本是2.3.1，其它依赖自己看着引入吧

2、创建shiro配置文件

关于shiro的配置信息，我们都放在ShiroConfig.java文件中

importat.pollux.thymeleaf.shiro.dialect.ShiroDialect;
importorg.apache.shiro.authc.credential.HashedCredentialsMatcher;
importorg.apache.shiro.mgt.SecurityManager;
importorg.apache.shiro.spring.LifecycleBeanPostProcessor;
importorg.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
importorg.apache.shiro.spring.web.ShiroFilterFactoryBean;
importorg.apache.shiro.web.mgt.DefaultWebSecurityManager;
importorg.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator;
importorg.springframework.context.annotation.Bean;
importorg.springframework.context.annotation.Configuration;
importorg.springframework.context.annotation.DependsOn;

importjava.util.LinkedHashMap;
importjava.util.Map;

/**
*shiro配置类
*/
@Configuration
publicclassShiroConfig{

/**
*注入这个是是为了在thymeleaf中使用shiro的自定义tag。
*/
@Bean(name="shiroDialect")
publicShiroDialectshiroDialect(){
returnnewShiroDialect();
}

/**
*地址过滤器
*@paramsecurityManager
*@return
*/
@Bean
publicShiroFilterFactoryBeanshiroFilterFactoryBean(SecurityManagersecurityManager){
ShiroFilterFactoryBeanshiroFilterFactoryBean=newShiroFilterFactoryBean();
//设置securityManager
shiroFilterFactoryBean.setSecurityManager(securityManager);
//设置登录url
shiroFilterFactoryBean.setLoginUrl("/login");
//设置主页url
shiroFilterFactoryBean.setSuccessUrl("/");
//设置未授权的url
shiroFilterFactoryBean.setUnauthorizedUrl("/unauthorized");
MapfilterChainDefinitionMap=newLinkedHashMap<>();
//开放登录接口
filterChainDefinitionMap.put("/doLogin","anon");
//开放静态资源文件
filterChainDefinitionMap.put("/css/**","anon");
filterChainDefinitionMap.put("/img/**","anon");
filterChainDefinitionMap.put("/js/**","anon");
filterChainDefinitionMap.put("/layui/**","anon");
//其余url全部拦截，必须放在最后
filterChainDefinitionMap.put("/**","authc");
shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
returnshiroFilterFactoryBean;
}

/**
*自定义安全管理策略
*/
@Bean
publicSecurityManagersecurityManager(){
DefaultWebSecurityManagersecurityManager=newDefaultWebSecurityManager();
/**
设置自定义的relam
*/
securityManager.setRealm(loginRelam());
returnsecurityManager;
}

/**
*登录验证
*/
@Bean
publicLoginRelamloginRelam(){
returnnewLoginRelam();
}

/**
*以下是为了能够使用@RequiresPermission()等标签
*/
@Bean
@DependsOn({"lifecycleBeanPostProcessor"})
publicDefaultAdvisorAutoProxyCreatoradvisorAutoProxyCreator(){
DefaultAdvisorAutoProxyCreatoradvisorAutoProxyCreator=newDefaultAdvisorAutoProxyCreator();
advisorAutoProxyCreator.setProxyTargetClass(true);
returnadvisorAutoProxyCreator;
}

@Bean
publicstaticLifecycleBeanPostProcessorlifecycleBeanPostProcessor(){
returnnewLifecycleBeanPostProcessor();
}

@Bean
publicAuthorizationAttributeSourceAdvisorauthorizationAttributeSourceAdvisor(){
AuthorizationAttributeSourceAdvisorauthorizationAttributeSourceAdvisor=newAuthorizationAttributeSourceAdvisor();
authorizationAttributeSourceAdvisor.setSecurityManager(securityManager());
returnauthorizationAttributeSourceAdvisor;
}
}

上面开放静态资源文件，其它博客说的是**filterChainDefinitionMap.put("/static/**","anon");**,但我发现，我们在html文件中引入静态文件时，请求路径根本没有经过static，thymeleaf自动默认配置**static/**下面就是静态资源文件，所以，我们开放静态资源文件需要指定响应的目录路径

2、登录验证管理

关于登录验证的一些逻辑，以及赋权等操作，我们都放在LoginRelam.java文件中

importcom.baomidou.mybatisplus.core.conditions.query.QueryWrapper;
importcom.zyxx.sbm.entity.UserInfo;
importcom.zyxx.sbm.service.RolePermissionService;
importcom.zyxx.sbm.service.UserInfoService;
importcom.zyxx.sbm.service.UserRoleService;
importorg.apache.shiro.authc.*;
importorg.apache.shiro.authc.credential.CredentialsMatcher;
importorg.apache.shiro.authz.AuthorizationInfo;
importorg.apache.shiro.authz.SimpleAuthorizationInfo;
importorg.apache.shiro.realm.AuthorizingRealm;
importorg.apache.shiro.subject.PrincipalCollection;
importorg.apache.shiro.util.ByteSource;
importorg.springframework.beans.factory.annotation.Autowired;

importjava.util.Set;

/**
*登录授权
*/
publicclassLoginRelamextendsAuthorizingRealm{

@Autowired
privateUserInfoServiceuserInfoService;
@Autowired
privateUserRoleServiceuserRoleService;
@Autowired
privateRolePermissionServicerolePermissionService;

/**
*身份认证
*
*@paramauthenticationToken
*@return
*@throwsAuthenticationException
*/
@Override
protectedAuthenticationInfodoGetAuthenticationInfo(AuthenticationTokenauthenticationToken)throwsAuthenticationException{
//获取基于用户名和密码的令牌：实际上这个authcToken是从LoginController里面currentUser.login(token)传过来的
UsernamePasswordTokentoken=(UsernamePasswordToken)authenticationToken;

//根据用户名查找到用户信息
QueryWrapperqueryWrapper=newQueryWrapper<>();
queryWrapper.eq("account",token.getUsername());
UserInfouserInfo=userInfoService.getOne(queryWrapper);

//没找到帐号
if(null==userInfo){
thrownewUnknownAccountException();
}

//校验用户状态
if("1".equals(userInfo.getStatus())){
thrownewDisabledAccountException();
}

//认证缓存信息
returnnewSimpleAuthenticationInfo(userInfo,userInfo.getPassword(),ByteSource.Util.bytes(userInfo.getAccount()),getName());
}

/**
*角色授权
*
*@paramprincipalCollection
*@return
*/
@Override
protectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollectionprincipalCollection){
UserInfoauthorizingUser=(UserInfo)principalCollection.getPrimaryPrincipal();
if(null!=authorizingUser){
//权限信息对象info,用来存放查出的用户的所有的角色（role）及权限（permission）
SimpleAuthorizationInfosimpleAuthorizationInfo=newSimpleAuthorizationInfo();

//获得用户角色列表
SetroleSigns=userRoleService.listUserRoleByUserId(authorizingUser.getId());
simpleAuthorizationInfo.addRoles(roleSigns);

//获得权限列表
SetpermissionSigns=rolePermissionService.listRolePermissionByUserId(authorizingUser.getId());
simpleAuthorizationInfo.addStringPermissions(permissionSigns);
returnsimpleAuthorizationInfo;
}
returnnull;
}

/**
*自定义加密规则
*
*@paramcredentialsMatcher
*/
@Override
publicvoidsetCredentialsMatcher(CredentialsMatchercredentialsMatcher){
//自定义认证加密方式
CustomCredentialsMatchercustomCredentialsMatcher=newCustomCredentialsMatcher();
//设置自定义认证加密方式
super.setCredentialsMatcher(customCredentialsMatcher);
}
}

以上就是登录时，需要指明shiro对用户的一些验证、授权等操作，还有自定义密码验证规则，在第3步会讲到，获取角色列表，权限列表，需要获取到角色与权限的标识，每一个角色，每一个权限都有唯一的标识，装入Set中

3、自定义密码验证规则

密码的验证规则，我们放在了CustomCredentialsMatcher.java文件中

importorg.apache.shiro.authc.AuthenticationInfo;
importorg.apache.shiro.authc.AuthenticationToken;
importorg.apache.shiro.authc.UsernamePasswordToken;
importorg.apache.shiro.authc.credential.SimpleCredentialsMatcher;
importorg.apache.shiro.crypto.hash.SimpleHash;

/**
*@ClassNameCustomCredentialsMatcher
*自定义密码加密规则
*@AuthorLizhou
*@Date2020-07-1016:24:24
**/
publicclassCustomCredentialsMatcherextendsSimpleCredentialsMatcher{

@Override
publicbooleandoCredentialsMatch(AuthenticationTokenauthcToken,AuthenticationInfoinfo){
UsernamePasswordTokentoken=(UsernamePasswordToken)authcToken;
//加密类型，密码，盐值，迭代次数
ObjecttokenCredentials=newSimpleHash("md5",token.getPassword(),token.getUsername(),6).toHex();
//数据库存储密码
ObjectaccountCredentials=getCredentials(info);
//将密码加密与系统加密后的密码校验，内容一致就返回true,不一致就返回false
returnequals(tokenCredentials,accountCredentials);
}
}

我们采用的密码加密方式为MD5加密，加密6次，使用登录账户作为加密密码的盐进行加密

4、密码加密工具

上面我们自定义了密码加密规则，我们创建一个密码加密的工具类PasswordUtils.java文件

importorg.apache.shiro.crypto.hash.Md5Hash;


/**
*密码加密的处理工具类
*/
publicclassPasswordUtils{

/**
*迭代次数
*/
privatestaticfinalintITERATIONS=6;

privatePasswordUtils(){
thrownewAssertionError();
}

/**
*字符串加密函数MD5实现
*
*@parampassword密码
*@paramloginName用户名
*@return
*/
publicstaticStringgetPassword(Stringpassword,StringloginName){
returnnewMd5Hash(password,loginName,ITERATIONS).toString();
}
}

三、开始登录

上面，我们已经配置了shiro的一系列操作，从登录验证、密码验证规则、用户授权等等，下面我们就开始登录，登录的操作，放在了LoginController.java文件中

importcom.zyxx.common.consts.SystemConst;
importcom.zyxx.common.enums.StatusEnums;
importcom.zyxx.common.kaptcha.KaptchaUtil;
importcom.zyxx.common.shiro.SingletonLoginUtils;
importcom.zyxx.common.utils.PasswordUtils;
importcom.zyxx.common.utils.ResponseResult;
importcom.zyxx.sbm.entity.UserInfo;
importcom.zyxx.sbm.service.PermissionInfoService;
importio.swagger.annotations.Api;
importio.swagger.annotations.ApiImplicitParam;
importio.swagger.annotations.ApiImplicitParams;
importio.swagger.annotations.ApiOperation;
importorg.apache.shiro.SecurityUtils;
importorg.apache.shiro.authc.*;
importorg.apache.shiro.subject.Subject;
importorg.springframework.beans.factory.annotation.Autowired;
importorg.springframework.stereotype.Controller;
importorg.springframework.web.bind.annotation.GetMapping;
importorg.springframework.web.bind.annotation.PostMapping;
importorg.springframework.web.bind.annotation.ResponseBody;

importjavax.servlet.http.HttpServletRequest;
importjavax.servlet.http.HttpServletResponse;

/**
*@ClassNameLoginController
*@Description
*@AuthorLizhou
*@Date2020-07-0210:54:54
**/
@Api(tags="后台管理端--登录")
@Controller
publicclassLoginController{

@Autowired
privatePermissionInfoServicepermissionInfoService;

@ApiOperation(value="请求登录页面",notes="请求登录页面")
@GetMapping("login")
publicStringinit(){
return"login";
}

@ApiOperation(value="请求主页面",notes="请求主页面")
@GetMapping("/")
publicStringindex(){
return"index";
}

@ApiOperation(value="登录验证",notes="登录验证")
@ApiImplicitParams({
@ApiImplicitParam(name="account",value="账号",required=true),
@ApiImplicitParam(name="password",value="密码",required=true),
@ApiImplicitParam(name="resCode",value="验证码",required=true),
@ApiImplicitParam(name="rememberMe",value="记住登录",required=true)
})
@PostMapping("doLogin")
@ResponseBody
publicResponseResultdoLogin(Stringaccount,Stringpassword,StringresCode,BooleanrememberMe,HttpServletRequestrequest,HttpServletResponseresponse)throwsException{
//验证码
if(!KaptchaUtil.validate(resCode,request)){
returnResponseResult.getInstance().error(StatusEnums.KAPTCH_ERROR);
}
//验证帐号和密码
Subjectsubject=SecurityUtils.getSubject();
UsernamePasswordTokentoken=newUsernamePasswordToken(account,password);
//记住登录状态
token.setRememberMe(rememberMe);
try{
//执行登录
subject.login(token);
//将用户保存到session中
UserInfouserInfo=(UserInfo)subject.getPrincipal();
request.getSession().setAttribute(SystemConst.SYSTEM_USER_SESSION,userInfo);
returnResponseResult.getInstance().success();
}catch(UnknownAccountExceptione){
returnResponseResult.getInstance().error("账户不存在");
}catch(DisabledAccountExceptione){
returnResponseResult.getInstance().error("账户已被冻结");
}catch(IncorrectCredentialsExceptione){
returnResponseResult.getInstance().error("密码不正确");
}catch(ExcessiveAttemptsExceptione){
returnResponseResult.getInstance().error("密码连续输入错误超过5次，锁定半小时");
}catch(RuntimeExceptione){
returnResponseResult.getInstance().error("未知错误");
}
}

@ApiOperation(value="登录成功，跳转主页面",notes="登录成功，跳转主页面")
@PostMapping("success")
publicStringsuccess(){
return"redirect:/";
}

@ApiOperation(value="初始化菜单数据",notes="初始化菜单数据")
@GetMapping("initMenu")
@ResponseBody
publicStringinitMenu(){
returnpermissionInfoService.initMenu();
}

@ApiOperation(value="退出登录",notes="退出登录")
@GetMapping(value="loginOut")
publicStringlogout(){
Subjectsubject=SecurityUtils.getSubject();
subject.logout();
return"login";
}
}

当执行subject.login(token);时，就会进入我们在第二步中第二条登录验证中，对用户密码、状态进行检查，对用户授权等操作，登录的密码，一定是通过密码加密工具得到的，不然验证不通过

四、页面权限控制

我们本次使用的是thymeleaf模板引擎，我们需要在html文件中加入以下内容

引入了thymeleaf的依赖，以及shiro的依赖，这样我们就能在html文件中使用thymeleaf、shiro的标签了

例如：

1、判断当前用户有无此权限，通过权限标识

新增

2、与上面相反，判断当前用户无此权限，通过权限标识，没有时验证通过

新增

3、判断当前用户有无以下全部权限，通过权限标识

新增

4、判断当前用户有无以下任一权限，通过权限标识

新增

5、判断当前用户有无此角色，通过角色标识

Administerthesystem

6、与上面相反，判断当前用户无此角色，通过角色标识，没有时验证通过

Administerthesystem

7、判断当前用户有无以下全部角色，通过角色标识

Administerthesystem

8、判断当前用户有无以下任一角色，通过角色标识

Administerthesystem

到此这篇关于SpringBoot中整合Shiro实现权限管理的示例代码的文章就介绍到这了,更多相关SpringBoot整合Shiro权限内容请搜索毛票票以前的文章或继续浏览下面的相关文章希望大家以后多多支持毛票票！

声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。

SpringBoot中整合Shiro实现权限管理的示例代码

热门推荐

随机推荐