SpringBoot集成Shiro进行权限控制和管理的示例

2023-09-15 17:12:04 71

shiro

apacheshiro是一个轻量级的身份验证与授权框架，与springsecurity相比较，简单易用，灵活性高，springboot本身是提供了对security的支持，毕竟是自家的东西。springboot暂时没有集成shiro，这得自己配。

1.添加依赖


org.apache.shiro
shiro-spring
1.2.5


org.apache.shiro
shiro-ehcache
1.2.5

2.编写Shiro配置类

packagecom.xbz.web.system.config;
importat.pollux.thymeleaf.shiro.dialect.ShiroDialect;
importorg.apache.shiro.authc.credential.CredentialsMatcher;
importorg.apache.shiro.authc.credential.HashedCredentialsMatcher;
importorg.apache.shiro.cache.ehcache.EhCacheManager;
importorg.apache.shiro.codec.Base64;
importorg.apache.shiro.session.SessionListener;
importorg.apache.shiro.session.mgt.SessionManager;
importorg.apache.shiro.session.mgt.eis.MemorySessionDAO;
importorg.apache.shiro.session.mgt.eis.SessionDAO;
importorg.apache.shiro.spring.LifecycleBeanPostProcessor;
importorg.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
importorg.apache.shiro.spring.web.ShiroFilterFactoryBean;
importorg.apache.shiro.web.mgt.CookieRememberMeManager;
importorg.apache.shiro.web.mgt.DefaultWebSecurityManager;
importorg.apache.shiro.web.servlet.SimpleCookie;
importorg.apache.shiro.web.session.mgt.DefaultWebSessionManager;
importorg.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator;
importorg.springframework.boot.autoconfigure.condition.ConditionalOnMissingBean;
importorg.springframework.context.annotation.Bean;
importorg.springframework.context.annotation.Configuration;
importorg.springframework.context.annotation.DependsOn;
importjava.util.ArrayList;
importjava.util.Collection;
importjava.util.LinkedHashMap;
importjava.util.Map;
/**
*shiro配置类
*ApacheShiro核心通过Filter来实现权限控制和拦截,就好像SpringMVC通过DispachServlet来主控制请求分发一样.
*既然是使用Filter,即是通过URL规则来进行过滤和权限校验,所以我们需要定义一系列关于URL的规则和访问权限
*/
@Configuration
publicclassShiroConfiguration{
/**
*DefaultAdvisorAutoProxyCreator,Spring的一个bean,由Advisor决定对哪些类的方法进行AOP代理.
*/
@Bean
@ConditionalOnMissingBean
publicDefaultAdvisorAutoProxyCreatordefaultAdvisorAutoProxyCreator(){
DefaultAdvisorAutoProxyCreatordefaultAAP=newDefaultAdvisorAutoProxyCreator();
defaultAAP.setProxyTargetClass(true);
returndefaultAAP;
}

/**
*ShiroFilterFactoryBean:为了生成ShiroFilter,处理拦截资源文件问题.
*它主要保持了三项数据,securityManager,filters,filterChainDefinitionManager.
*注意:单独一个ShiroFilterFactoryBean配置是或报错的,因为在初始化ShiroFilterFactoryBean的时候需要注入：SecurityManager
*
*FilterChain定义说明
*1.一个URL可以配置多个Filter,使用逗号分隔
*2.当设置多个过滤器时,全部验证通过,才视为通过
*3.部分过滤器可指定参数,如perms,roles
*
*/
@Bean
publicShiroFilterFactoryBeanshiroFilterFactoryBean(){
ShiroFilterFactoryBeanshiroFilterFactoryBean=newShiroFilterFactoryBean();
shiroFilterFactoryBean.setSecurityManager(securityManager());
shiroFilterFactoryBean.setLoginUrl("/login");//不设置默认找web工程根目录下的login.jsp页面
shiroFilterFactoryBean.setSuccessUrl("/index");//登录成功之后要跳转的连接
shiroFilterFactoryBean.setUnauthorizedUrl("/403");//未授权跳转页面
/*//自定义拦截器,多个filter的设置*/
//Mapfilters=newLinkedHashMap<>();
//LogoutFilterlogoutFilter=newLogoutFilter();//限制同一帐号同时在线的个数。或单点登录等
//logoutFilter.setRedirectUrl("/login");
//filters.put("logout",null);
//shiroFilterFactoryBean.setFilters(filters);
MapfilterChainDefinitionMap=newLinkedHashMap<>();
//filterChainDefinitionManager必须是LinkedHashMap因为它必须保证有序
filterChainDefinitionMap.put("/css/**","anon");//静态资源不要求权限,若有其他目录下文件(如js,img等)也依此设置
filterChainDefinitionMap.put("/","anon");
filterChainDefinitionMap.put("/login","anon");//配置不需要权限访问的部分url
filterChainDefinitionMap.put("/logout","logout");
filterChainDefinitionMap.put("/user/**","authc,roles[ROLE_USER]");//用户为ROLE_USER角色可以访问.由用户角色控制用户行为.
filterChainDefinitionMap.put("/events/**","authc,roles[ROLE_ADMIN]");
//filterChainDefinitionMap.put("/user/edit/**","authc,perms[user:edit]");//这里为了测试,固定写死的值,也可以从数据库或其他配置中读取,此处是用权限控制

filterChainDefinitionMap.put("/**","authc");//需要登录访问的资源,一般将/**放在最下边

shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
returnshiroFilterFactoryBean;
}

//regionCookie及Session
//====================Cookie及Session管理begin====================
privatestaticfinalStringCOOKIE_NAME="rememberMe";
/**cookie对象管理*/
publicSimpleCookierememberMeCookie(){
//这个参数是cookie的名称，对应前端的checkbox的name=rememberMe
SimpleCookiesimpleCookie=newSimpleCookie(COOKIE_NAME);
simpleCookie.setMaxAge(604800);//记住我cookie生效时间7天,单位秒
returnsimpleCookie;
}

/**cookie管理对象:记住我功能*/
publicCookieRememberMeManagerrememberMeManager(){
CookieRememberMeManagercookieRememberMeManager=newCookieRememberMeManager();
cookieRememberMeManager.setCookie(rememberMeCookie());
cookieRememberMeManager.setCipherKey(Base64.decode("3AvVhmFLUs0KTA3Kprsdag=="));//rememberMecookie加密的密钥建议每个项目都不一样默认AES算法密钥长度(128256512位)
returncookieRememberMeManager;
}

@Bean
SessionDAOsessionDAO(){
returnnewMemorySessionDAO();
}

@Bean
publicSessionManagersessionManager(){
DefaultWebSessionManagersessionManager=newDefaultWebSessionManager();
Collectionlisteners=newArrayList<>();
listeners.add(newBDSessionListener());
sessionManager.setSessionListeners(listeners);
sessionManager.setSessionDAO(sessionDAO());
returnsessionManager;
}
//====================Cookie及Session管理end====================
//endregion

/**
*SecurityManager:核心安全事务管理器,权限管理
*这个类组合了登陆,登出,权限,session的处理.是个比较重要的类.
*/
@Bean(name="securityManager")
publicDefaultWebSecurityManagersecurityManager(){
DefaultWebSecurityManagersecurityManager=newDefaultWebSecurityManager();
securityManager.setRealm(shiroRealm());
securityManager.setCacheManager(ehCacheManager());////用户授权/认证信息Cache,采用EhCache缓存

//自定义session管理使用redis
securityManager.setSessionManager(sessionManager());

//注入记住我管理器;
securityManager.setRememberMeManager(rememberMeManager());
returnsecurityManager;
}

/**
*ShiroRealm,这是个自定义的认证类,继承自AuthorizingRealm,
*负责用户的认证和权限的处理,可以参考JdbcRealm的实现.
*/
@Bean
@DependsOn("lifecycleBeanPostProcessor")
publicShiroRealmshiroRealm(CredentialsMatchermatcher){
ShiroRealmrealm=newShiroRealm();
realm.setCredentialsMatcher(matcher);//密码校验实现
returnrealm;
}

/**
*EhCacheManager,缓存管理
*用户登陆成功后,把用户信息和权限信息缓存起来,然后每次用户请求时,放入用户的session中,如果不设置这个bean,每个请求都会查询一次数据库.
*/
@Bean
@DependsOn("lifecycleBeanPostProcessor")
publicEhCacheManagerehCacheManager(){
EhCacheManagerem=newEhCacheManager();
em.setCacheManagerConfigFile("classpath:config/ehcache.xml");//配置文件路径
returnem;
}

/**
*LifecycleBeanPostProcessor,这是个DestructionAwareBeanPostProcessor的子类,
*负责org.apache.shiro.util.Initializable类型bean的生命周期的,初始化和销毁.
*主要是AuthorizingRealm类的子类,以及EhCacheManager类.
*/
@Bean(name="lifecycleBeanPostProcessor")
publicLifecycleBeanPostProcessorlifecycleBeanPostProcessor(){
returnnewLifecycleBeanPostProcessor();
}

/**
*HashedCredentialsMatcher,这个类是为了对密码进行编码的,
*防止密码在数据库里明码保存,当然在登陆认证的时候,
*这个类也负责对form里输入的密码进行编码
*处理认证匹配处理器：如果自定义需要实现继承HashedCredentialsMatcher
*/
@Bean(name="hashedCredentialsMatcher")
publicHashedCredentialsMatcherhashedCredentialsMatcher(){
HashedCredentialsMatchercredentialsMatcher=newHashedCredentialsMatcher();
credentialsMatcher.setHashAlgorithmName("MD5");//指定加密方式方式，也可以在这里加入缓存，当用户超过五次登陆错误就锁定该用户禁止不断尝试登陆
credentialsMatcher.setHashIterations(2);
credentialsMatcher.setStoredCredentialsHexEncoded(true);
returncredentialsMatcher;
}

/**
*AuthorizationAttributeSourceAdvisor,shiro里实现的Advisor类,
*内部使用AopAllianceAnnotationsAuthorizingMethodInterceptor来拦截用以下注解的方法.
*/
@Bean
publicAuthorizationAttributeSourceAdvisorauthorizationAttributeSourceAdvisor(){
AuthorizationAttributeSourceAdvisoradvisor=newAuthorizationAttributeSourceAdvisor();
advisor.setSecurityManager(securityManager());
returnadvisor;
}

//thymeleaf模板引擎和shiro整合时使用
@Bean
publicShiroDialectshiroDialect(){
returnnewShiroDialect();
}
}

3.自定义Realm验证类

packagecom.yiyun.web.system.config;
importcom.yiyun.dao.master.UserDao;
importcom.yiyun.domain.UserDO;
importcom.yiyun.web.common.utils.ShiroUtils;
importcom.yiyun.web.system.service.MenuService;
importorg.apache.shiro.SecurityUtils;
importorg.apache.shiro.authc.*;
importorg.apache.shiro.authz.AuthorizationInfo;
importorg.apache.shiro.authz.SimpleAuthorizationInfo;
importorg.apache.shiro.realm.AuthorizingRealm;
importorg.apache.shiro.session.Session;
importorg.apache.shiro.subject.PrincipalCollection;
importorg.springframework.beans.factory.annotation.Autowired;
importjava.util.*;

/**
*获取用户的角色和权限信息
*/
publicclassShiroRealmextendsAuthorizingRealm{

//一般这里都写的是servic
@Autowired
privateUserDaouserMapper;
@Autowired
privateMenuServicemenuService;

/**
*登录认证一般情况下,登录成功之后就给当前用户进行权限赋予了
*根据用户的权限信息做授权判断，这一步是以doGetAuthenticationInfo为基础的，只有在有用户信息后才能根据用户的角色和授权信息做判断是否给用户授权，因此这里的Roles和Permissions是用户的两个重点判断依据
*@paramauthenticationToken
*@return
*@throwsAuthenticationException
*/
@Override
protectedAuthenticationInfodoGetAuthenticationInfo(AuthenticationTokenauthenticationToken)throwsAuthenticationException{
UsernamePasswordTokentoken=(UsernamePasswordToken)authenticationToken;
UserDouser=userMapper.findByName(token.getUsername());//查出是否有此用户

if(user!=null){
//若存在，将此用户存放到登录认证info中，无需自己做密码对比，Shiro会为我们进行密码对比校验
Listrlist=uRoleDao.findRoleByUid(user.getId());//获取用户角色
Listplist=uPermissionDao.findPermissionByUid(user.getId());//获取用户权限
ListroleStrlist=newArrayList();////用户的角色集合
ListperminsStrlist=newArrayList();//用户的权限集合
for(URolerole:rlist){
roleStrlist.add(role.getName());
}
for(UPermissionuPermission:plist){
perminsStrlist.add(uPermission.getName());
}
user.setRoleStrlist(roleStrlist);
user.setPerminsStrlist(perminsStrlist);
Sessionsession=SecurityUtils.getSubject().getSession();
session.setAttribute("user",user);//成功则放入session
//若存在，将此用户存放到登录认证info中，无需自己做密码对比，Shiro会为我们进行密码对比校验
returnnewSimpleAuthenticationInfo(user,user.getPassword(),getName());
}
returnnull;
}

/**
*权限认证
*获取用户的权限信息，这是为下一步的授权做判断，获取当前用户的角色和这些角色所拥有的权限信息
*@paramprincipalCollection
*@return
*/
@Override
protectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollectionprincipalCollection){
//获取当前登录输入的用户名，等价于(String)principalCollection.fromRealm(getName()).iterator().next();
//StringloginName=(String)super.getAvailablePrincipal(principalCollection);
UserDouser=(UserDo)principalCollection.getPrimaryPrincipal();
////到数据库查是否有此对象
//Useruser=null;//实际项目中，这里可以根据实际情况做缓存，如果不做，Shiro自己也是有时间间隔机制，2分钟内不会重复执行该方法
//user=userMapper.findByName(loginName);
if(user!=null){
//权限信息对象info,用来存放查出的用户的所有的角色（role）及权限（permission）
SimpleAuthorizationInfoinfo=newSimpleAuthorizationInfo();
//用户的角色集合
info.addRoles(user.getRoleStrlist());
//用户的权限集合
info.addStringPermissions(user.getPerminsStrlist());

returninfo;
}
//返回null的话，就会导致任何用户访问被拦截的请求时，都会自动跳转到unauthorizedUrl指定的地址
returnnull;
}
}

4.最后看一下ehcache的配置文件

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持毛票票。

声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。

SpringBoot集成Shiro进行权限控制和管理的示例

热门推荐

随机推荐