springmvc+shiro+maven 实现登录认证与权限授权管理

2023-09-24 08:18:05 50

Shiro是Shiro是一个Apache下的一开源项目项目，旨在简化身份验证和授权。

1：shiro的配置，通过maven加入shiro相关jar包



org.apache.shiro
shiro-core
1.2.1


org.apache.shiro
shiro-web
1.2.1


org.apache.shiro
shiro-ehcache
1.2.1


org.apache.shiro
shiro-spring
1.2.1

2：在web.xml中添加shiro过滤器



shiroFilter
org.springframework.web.filter.DelegatingFilterProxy


shiroFilter
/admin/*

3：springmvc中对shiro配置






















/images/**=anon
/js/**=anon
/styles/**=anon

/validatecode.jsp=anon

/admin/logout.do=logout



/welcome.jsp=user
/admin/index.do=user

/**=authc

4：自定义Realm编码

publicclassCustomRealmextendsAuthorizingRealm{
//设置realm的名称
@Override
publicvoidsetName(Stringname){
super.setName("customRealm");
}
@Autowired
privateAdminUserServiceadminUserService;
/**
*认证
*/
@Override
protectedAuthenticationInfodoGetAuthenticationInfo(AuthenticationTokentoken)throwsAuthenticationException{
//token中包含用户输入的用户名和密码
//第一步从token中取出用户名
StringuserName=(String)token.getPrincipal();
//第二步：根据用户输入的userCode从数据库查询
TAdminUseradminUser=adminUserService.getAdminUserByUserName(userName);
//如果查询不到返回null
if(adminUser==null){//
returnnull;
}
//获取数据库中的密码
Stringpassword=adminUser.getPassword();
/**
*认证的用户,正确的密码
*/
AuthenticationInfoauthcInfo=newSimpleAuthenticationInfo(adminUser,password,this.getName());
//MD5加密+加盐+多次加密
//SimpleAuthenticationInfoauthcInfo=newSimpleAuthenticationInfo(adminUser,password,ByteSource.Util.bytes(salt),this.getName());
returnauthcInfo;
}
/**
*授权,只有成功通过doGetAuthenticationInfo方法的认证后才会执行。
*/
@Override
protectedAuthorizationInfodoGetAuthorizationInfo(PrincipalCollectionprincipals){
//从principals获取主身份信息
//将getPrimaryPrincipal方法返回值转为真实身份类型（在上边的doGetAuthenticationInfo认证通过填充到SimpleAuthenticationInfo中身份类型），
TAdminUseractiveUser=(TAdminUser)principals.getPrimaryPrincipal();
//根据身份信息获取权限信息
//从数据库获取到权限数据
TAdminRoleadminRoles=adminUserService.getAdminRoles(activeUser);
//单独定一个集合对象
Listpermissions=newArrayList();
if(adminRoles!=null){
permissions.add(adminRoles.getRoleKey());
}
//查到权限数据，返回授权信息(要包括上边的permissions)
SimpleAuthorizationInfosimpleAuthorizationInfo=newSimpleAuthorizationInfo();
//将上边查询到授权信息填充到simpleAuthorizationInfo对象中
simpleAuthorizationInfo.addStringPermissions(permissions);
returnsimpleAuthorizationInfo;
}
//清除缓存
publicvoidclearCached(){
PrincipalCollectionprincipals=SecurityUtils.getSubject().getPrincipals();
super.clearCache(principals);
}
}

5缓存配置

ehcache.xml代码如下：

通过使用ehache中就避免第次都向服务器发送权限授权(doGetAuthorizationInfo)的请求。

6.自定义表单编码过滤器

CustomFormAuthenticationFilter代码，认证之前调用，可用于验证码校验

publicclassCustomFormAuthenticationFilterextendsFormAuthenticationFilter{
//原FormAuthenticationFilter的认证方法
@Override
protectedbooleanonAccessDenied(ServletRequestrequest,ServletResponseresponse)throwsException{
//在这里进行验证码的校验

//从session获取正确验证码
HttpServletRequesthttpServletRequest=(HttpServletRequest)request;
HttpSessionsession=httpServletRequest.getSession();
//取出session的验证码（正确的验证码）
StringvalidateCode=(String)session.getAttribute("validateCode");
//取出页面的验证码
//输入的验证和session中的验证进行对比
Stringrandomcode=httpServletRequest.getParameter("randomcode");
if(randomcode!=null&&validateCode!=null&&!randomcode.equals(validateCode)){
//如果校验失败，将验证码错误失败信息，通过shiroLoginFailure设置到request中
httpServletRequest.setAttribute("shiroLoginFailure","randomCodeError");
//拒绝访问，不再校验账号和密码
returntrue;
}
returnsuper.onAccessDenied(request,response);
}
}

在此符上验证码jsp界面的代码 validatecode.jsp

<%@pagelanguage="java"contentType="text/html;charset=UTF-8"
pageEncoding="UTF-8"%>
<%@pageimport="java.util.Random"%>
<%@pageimport="java.io.OutputStream"%>
<%@pageimport="java.awt.Color"%>
<%@pageimport="java.awt.Font"%>
<%@pageimport="java.awt.Graphics"%>
<%@pageimport="java.awt.image.BufferedImage"%>
<%@pageimport="javax.imageio.ImageIO"%>
<%
intwidth=60;
intheight=32;
//createtheimage
BufferedImageimage=newBufferedImage(width,height,BufferedImage.TYPE_INT_RGB);
Graphicsg=image.getGraphics();
//setthebackgroundcolor
g.setColor(newColor(0xDCDCDC));
g.fillRect(0,0,width,height);
//drawtheborder
g.setColor(Color.black);
g.drawRect(0,0,width-1,height-1);
//createarandominstancetogeneratethecodes
Randomrdm=newRandom();
Stringhash1=Integer.toHexString(rdm.nextInt());
//makesomeconfusion
for(inti=0;i<50;i++){
intx=rdm.nextInt(width);
inty=rdm.nextInt(height);
g.drawOval(x,y,0,0);
}
//generatearandomcode
Stringcapstr=hash1.substring(0,4);
//将生成的验证码存入session
session.setAttribute("validateCode",capstr);
g.setColor(newColor(0,100,0));
g.setFont(newFont("Candara",Font.BOLD,24));
g.drawString(capstr,8,24);
g.dispose();
//输出图片
response.setContentType("image/jpeg");
out.clear();
out=pageContext.pushBody();
OutputStreamstrm=response.getOutputStream();
ImageIO.write(image,"jpeg",strm);
strm.close();
%>

7.登录控制器方法

/**
*到登录界面
*
*@return
*@throwsException
*/
@RequestMapping("login.do")
publicStringadminPage(HttpServletRequestrequest)throwsException{
//如果登陆失败从request中获取认证异常信息，shiroLoginFailure就是shiro异常类的全限定名
StringexceptionClassName=(String)request.getAttribute("shiroLoginFailure");
//根据shiro返回的异常类路径判断，抛出指定异常信息
if(exceptionClassName!=null){
if(UnknownAccountException.class.getName().equals(exceptionClassName)){
//最终会抛给异常处理器
thrownewCustomJsonException("账号不存在");
}elseif(IncorrectCredentialsException.class.getName().equals(exceptionClassName)){
thrownewCustomJsonException("用户名/密码错误");
}elseif("randomCodeError".equals(exceptionClassName)){
thrownewCustomJsonException("验证码错误");
}else{
thrownewException();//最终在异常处理器生成未知错误
}
}
//此方法不处理登陆成功（认证成功），shiro认证成功会自动跳转到上一个请求路径
//登陆失败还到login页面
return"admin/login";
}

8.用户回显Controller

当用户登录认证成功后，CustomRealm在调用完doGetAuthenticationInfo时，通过

AuthenticationInfoauthcInfo=newSimpleAuthenticationInfo(adminUser,password,this.getName());
returnauthcInfo;

SimpleAuthenticationInfo构造参数的第一个参数传入一个用户的对象，之后，可通过Subjectsubject=SecurityUtils.getSubject();中的subject.getPrincipal()获取到此对象。所以需要回显用户信息时，我这样调用的

@RequestMapping("index.do")
publicStringindex(Modelmodel){
//从shiro的session中取activeUser
Subjectsubject=SecurityUtils.getSubject();
//取身份信息
TAdminUseradminUser=(TAdminUser)subject.getPrincipal();
//通过model传到页面
model.addAttribute("adminUser",adminUser);
return"admin/index";
}

9.在jsp页面中控制权限

先引入shiro的头文件


<%@tagliburi="http://shiro.apache.org/tags"prefix="shiro"%>

采用shiro标签对权限进行处理





我拥有超级的增删改查权限额

10.在Controller控制权限

通过@RequiresPermissions注解，指定执行此controller中某个请求方法需要的权限

@RequestMapping("/queryInfo.do")
@RequiresPermissions("q")//执行需要"q"权限
publicModelAndViewqueryItems(HttpServletRequestrequest)throwsException{}

11.MD5加密加盐处理

这里以修改密码为例,通过获取新的密码(明文)后通过MD5加密+加盐+3次加密为例

@RequestMapping("updatePassword.do")
@ResponseBody
publicStringupdateAdminUserPassword(StringnewPassword){
//从shiro的session中取activeUser
Subjectsubject=SecurityUtils.getSubject();
//取身份信息
TAdminUseradminUser=(TAdminUser)subject.getPrincipal();
//生成salt,随机生成
SecureRandomNumberGeneratorsecureRandomNumberGenerator=newSecureRandomNumberGenerator();
Stringsalt=secureRandomNumberGenerator.nextBytes().toHex();
Md5Hashmd5=newMd5Hash(newPassword,salt,3);
StringnewMd5Password=md5.toHex();
//设置新密码
adminUser.setPassword(newMd5Password);
//设置盐
adminUser.setSalt(salt);
adminUserService.updateAdminUserPassword(adminUser);
returnnewPassword;
}

总结

以上所述是小编给大家介绍的springmvc+shiro+maven实现登录认证与权限授权管理，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对毛票票网站的支持！

声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。

springmvc+shiro+maven 实现登录认证与权限授权管理

热门推荐

随机推荐