shiro入门（快速搭建、整合Springboot、登录拦截、用户认证、整合mybatis、用户授权、整合thymeleaf）

查看官方文档shiro的10分钟快速搭建

http://shiro.apache.org/10-minute-tutorial.html

github查看shiro源码

https://github.com/apache/shiro.git

导入依赖、新建shiro.ini和log4j.properties配置文件，log4j非必须，最后编写启动类

查看启动类QuickStart的源码，对比Security

shiro三大核心对象

 

Subject：即“当前操作用户”。但是，在Shiro中，Subject这一概念并不仅仅指人，也可以是第三方进程、后台帐户（Daemon Account）或其他类似事物。它仅仅意味着“当前跟软件交互的东西”。

Subject代表了当前用户的安全操作，SecurityManager则管理所有用户的安全操作。

SecurityManager：它是Shiro框架的核心，典型的Facade模式，Shiro通过SecurityManager来管理内部组件实例，并通过它来提供安全管理的各种服务。

Realm：Realm充当了Shiro与应用安全数据间的“桥梁”或者“连接器”。也就是说，当对用户执行认证（登录）和授权（访问控制）验证时，Shiro会从应用配置的Realm中查找用户及其权限信息。

从这个意义上讲，Realm实质上是一个安全相关的DAO：它封装了数据源的连接细节，并在需要时将相关数据提供给Shiro。当配置Shiro时，你必须至少指定一个Realm，用于认证和（或）授权。配置多个Realm是可以的，但是至少需要一个。

Shiro内置了可以连接大量安全数据源（又名目录）的Realm，如LDAP、关系数据库（JDBC）、类似INI的文本配置资源以及属性文件等。如果缺省的Realm不能满足需求，你还可以插入代表自定义数据源的自己的Realm实现。

整合SpringBoot

编写Shiro配置类和Realm配置类

@Configuration
public class ShiroConfig {
    //第三步 ShiroFilterFactoryBean
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultsecurityManager) {
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultsecurityManager);
        return bean;
    }
    //第二步 DefaultWebSecurityManager
    @Bean(name="securityManager")
    public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("userRealm") UserRealm userRealm){
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        //关联UserRealm
        securityManager.setRealm(userRealm);
        return securityManager;
    }
    //第一步 创建Realm对象 ，需要自定义类
    @Bean
    public UserRealm userRealm(){
        return new UserRealm();
    }
}

public class UserRealm extends AuthorizingRealm {
    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal){
        return null;
    }
    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){
        return null;
    }
}

登录拦截（授权实现）

编写登录页及controller

<h1>登录</h1>

<form th:action="@{/authentication}">
    用户名：<input type="password" name="username">
    密码：<input type="password" name="password">
    <p><input type="submit"></p>
</form>
<p th:text="${msg}" style="color:red"></p>

    @RequestMapping("/user/login")
    public String update(){
        return "user/login";
    }

shiro配置类中加入登录拦截器，没有权限则跳转到登录页

    //第三步 ShiroFilterFactoryBean
    @Bean
    public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager defaultsecurityManager) {
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        //设置安全管理器
        bean.setSecurityManager(defaultsecurityManager);

        //添加Shiro的内置过滤器
        /*
            anon：无需认证即可访问
            authc：认证访问
            user：使用remember me功能才能访问
            perms：拥有对某个资源的权限才能访问
            role：拥有某个角色权限才能访问
         */

        Map<String,String> filterMap = new LinkedHashMap<>();

        //设置权限
        filterMap.put("/user/add","authc");
        filterMap.put("/user/update","authc");

        bean.setFilterChainDefinitionMap(filterMap);

        //设置登录请求
        bean.setLoginUrl("/user/login");


        return bean;
    }

测试效果，点击主页的add或update会跳转至登录页

 

 用户认证

 配置登录提交用户名密码的认证，先配置controller，再配置Realm认证类

    @RequestMapping("/authentication")
    public String authentication(String username,String password,Model model){
        //获取当前的用户
        Subject subject = SecurityUtils.getSubject();

        //封装用户的登录数据
        UsernamePasswordToken token = new UsernamePasswordToken(username,password);

        //执行登录方法,捕获异常
        try {
            subject.login(token);
            return "index";
        } catch (UnknownAccountException e) {
            model.addAttribute("msg","用户名错误");
            //用户名不存在
            e.printStackTrace();
            return "/user/login";
        }catch (IncorrectCredentialsException e) {
            model.addAttribute("msg","密码错误");
            //密码不存在
            e.printStackTrace();
            return "/user/login";
        }

    }

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){
        System.out.println("====执行了认证方法doGetAuthenticationInfo====");

        //用户名密码
        String username = "root";
        String password = "123";

        //此处AuthenticationToken为全局对象 subject.login()时传入
        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        if(!userToken.getUsername().equals(username)){
            return null;//抛出异常 UnknownAccountException
        }

        return new SimpleAuthenticationInfo("",password,"");
    }

整合Mybatis

mybatis与springboot整合见：SpringBoot中的数据访问（JDBC、Druid、Mybatis整合）

整合后shiro从DB获取用户的数据，修改对应的认证过程

　　//注入UserDao
   @Autowired
　　private UserDao userDao;

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){
        System.out.println("====执行了认证方法doGetAuthenticationInfo====");

        //此处AuthenticationToken为全局对象 subject.login()时传入
        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        List<User> userList = userDao.selectUser();

        for (User user:userList) {

            if(!userToken.getUsername().equals(user.getName())){
                continue;
            }else{
                return new SimpleAuthenticationInfo("",user.getPwd(),"");
            }

        }

        return null;//抛出异常 UnknownAccountException
    }

 用户授权

User类新增perm字段，增加相应的测试数据

重新设置权限，同时设置未经授权的处理

//设置权限
filterMap.put("/user/add","perms[user:add]");
filterMap.put("/user/update","perms[user:update]");

//设置未经授权请求
bean.setUnauthorizedUrl("/noauth");

controller编写未经授权提示

    @ResponseBody
    @RequestMapping("/noauth")
    public String unauthorized(){
        return "未经授权";
    }

在认证信息类返回对象中加入参数user，使授权类通过Subject获取user对象中的perm属性，使用perm属性进行用户权限设置

    //授权
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principal){

        System.out.println("====执行了授权方法doGetAuthorizationInfo====");

        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();

        //拿到当前登录的对象
        Subject subject = SecurityUtils.getSubject();
        User user = (User)subject.getPrincipal();

        //设置当前用户权限
        info.addStringPermission(user.getPerm());
        return info;
    }

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){
        System.out.println("====执行了认证方法doGetAuthenticationInfo====");

        //此处AuthenticationToken为全局对象 subject.login()时传入
        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        List<User> userList = userDao.selectUser();

        for (User user:userList) {

            if(!userToken.getUsername().equals(user.getName())){
                continue;
            }else{
                return new SimpleAuthenticationInfo(user,user.getPwd(),"");
            }

        }

        return null;//抛出异常 UnknownAccountException
    }

整合thymeleaf

加入依赖

        <dependency>
            <groupId>com.github.theborakompanioni</groupId>
            <artifactId>thymeleaf-extras-shiro</artifactId>
            <version>2.0.0</version>
        </dependency>

shiro配置类中加入整合方法

    //整合thymeleaf
    @Bean
    public ShiroDialect getShiroDialect(){
        return new ShiroDialect();
    }

认证通过后向shiro的session中加入属性，提供给前端显示按钮时做判断

    //认证
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){
        System.out.println("====执行了认证方法doGetAuthenticationInfo====");

        //此处AuthenticationToken为全局对象 subject.login()时传入
        UsernamePasswordToken userToken = (UsernamePasswordToken) token;

        List<User> userList = userDao.selectUser();

        for (User user:userList) {

            if(!userToken.getUsername().equals(user.getName())){
                continue;
            }else{
                //认证通过后向shiro的session中加入属性，提供给前端显示按钮时做判断
                Subject currentsub = SecurityUtils.getSubject();
                Session session = currentsub.getSession();
                session.setAttribute("loginUser",user);

                return new SimpleAuthenticationInfo(user,user.getPwd(),"");
            }

        }

        return null;//抛出异常 UnknownAccountException
    }

页面加入shiro申明，使用shiro标签控制显示