shiro：授权，认证总结

1，shiro对象（Relam）的创建步骤

　　工具类：目的是自定义（高级定制）授权和认证，

（1）ShiroFilterFactoryBean工厂：——》DefaultWebSecurityManager：-》创建 realm 对象，需要自定义类
　　这个类的目的是高级定制一个ShiroFilterFactoryBean工厂，生产自定义的Realm，
　　在这里设置认证和授权
注意：shiro不仅仅要整合spring还要整合thymeleaf

@Configuration
public class ShiroConfig {

    //ShiroFilterFactoryBean工厂：3
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("getDefaultWebSecurityManager") DefaultWebSecurityManager defaultWebSecurityManager){
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultWebSecurityManager);

        //添加shiro内置过滤器
        /*
        * anon:无需认证就能访问
        * authc:必须认证才能访问
        * user：必须拥有记住我功能才能使用
        * perms:拥有对某个资源的权限才能访问
        * role：拥有某个角色权限才能访问
        * */
        //拦截
        Map<String, String> filterMap=new LinkedHashMap<>();
        //这里面的路径是请求路径
        filterMap.put("/user/add","perms[user:add]");
        filterMap.put("/user/update","authc");

        bean.setFilterChainDefinitionMap(filterMap);

        //设置登录请求
        bean.setLoginUrl("/toLogin");
        //设置未授权页面
        bean.setUnauthorizedUrl("/noauth");


        return bean;
    }

    //DefaultWebSecurityManager：2
    //@Qualifier作用，绑定指定的spring容器里的bean
    @Bean
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm")UserRealm userRealm){
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //关联userRealm
        securityManager.setRealm(userRealm);
        return securityManager;
    }


    //创建 realm 对象，需要自定义类 ：1
    @Bean(name = "userRealm")//被spring容器接管
    public UserRealm userRealm(){
        return new UserRealm();
    }

    //整合ShiroDialect：用来整合shiro thymleaf
    @Bean
    public ShiroDialect getShiroDialect(){
        return new ShiroDialect();
    }

}

　　（2）继承抽象类AuthorizingRealm，里面封装的就是自定义的ShiroFilterFactoryBean工厂生产后的产物

　　　　　在这个类自定义和重写认证和授权

    //自定义的 UserRealm
    public class UserRealm extends AuthorizingRealm {

        @Autowired
        UserService userService;

        //授权
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
            System.out.println("执行了=>授权AuthorizationInfo");

            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            //info.addStringPermission("user:add");//授权写死，便于实验

            //拿到当前登录的这个对象
            Subject subject = SecurityUtils.getSubject();
            User currentUser =(User) subject.getPrincipal();//拿到user对象

            //设置当前用户的权限，数据从数据库取
            info.addStringPermission(currentUser.getPerms());

            return info;
        }


        //认证
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            System.out.println("执行了=>认证AuthenticationInfo");

            UsernamePasswordToken userToken= (UsernamePasswordToken) token;
            //从真实数据库中拿数据
            User user = userService.queryUserByName(userToken.getUsername());
            if (user==null){
                return null;
            }

            //密码认证，shiro做
            return new SimpleAuthenticationInfo(user,user.getPwd(),"");

        }
    }

到这里shiro的认证和授权就结束了，最后就是结合controller层去去在前端体现了

controller层小demo

@Controller
public class MyController {
    //首页
    @RequestMapping({"/","/index"})
    public String toIndex(Model model){
        model.addAttribute("msg","Hello shiro");
        return "index";
    }

    @RequestMapping("user/add")
    public String add(){

        return "user/add";
    }

    @RequestMapping("user/update")
    public String update(){

        return "user/update";
    }

    @RequestMapping("toLogin")
    public String toLogin(){

        return "login";
    }

    @RequestMapping("login")
    public String login(String username,String password,String remember,Model model){
        //获取当前用户
        Subject subject= SecurityUtils.getSubject();
        if (remember!=null){
            subject.isRemembered();
        }
        System.out.println(remember);
        //封装用户的登陆数据
        UsernamePasswordToken token=new UsernamePasswordToken(username,password);

        try{
            subject.login(token);//执行登录方法，如果不报异常就success
            return "index";
        }catch (UnknownAccountException e){//用户名不存在
            model.addAttribute("msg","用户名错误");
            return "login";
        }catch (IncorrectCredentialsException e){//密码不存在
            model.addAttribute("msg","密码错误");
            return "login";
        }

    }

    //没有权限提示界面
    @RequestMapping("/noauth")
    @ResponseBody
    public String unauthorized(){

        return "未经授权无法访问此页面";
    }

    //注销
    @RequestMapping("logout")
    public String logout(){
        //获取当前用户
        Subject currentSubject= SecurityUtils.getSubject();
        //注销
        currentSubject.logout();
        return "redirect:/  ";
    }

}

功能：此demo基本实现了用户的权限管理（如：普通用户，管理员），登陆注销也是结合了shiro，通过判断是否认证动态展示登录和注销，其他功能模块也是通过shiro判断每个用户在后台所拥有的权限，来确定用户所能访问的界面；

demo效果展示

1，游客界面

2，登录界面 

3,不同角色访问不同的功能页面

3.1 用户1（add权限）

 

3.12用户2（update权限）

4，注销（删除subject相当于删除session），返回游客状态

数据库