Shiro登录认证

一、登录认证

　　即在应用中谁能证明他就是他本人。一般提供如他们的身份ID 一些标识信息来表明他就是他本人，如提供身份证，用户名/密码来证明。

　　在 shiro 中，用户需要提供principals （身份）和credentials（证明）给shiro，从而应用能验证用户身份。

二、Shiro登录认证基本概念

1，principals

　　身份，即主体的标识属性，可以是任何东西，如用户名、邮箱等，唯一即可。

　　一个主体可以有多个principals，但只有一个Primary principals，一般是用户名/密码/手机号。

2， credentials

　　证明/凭证，即只有主体知道的安全值，如密码/数字证书等。

　　最常见的principals和credentials组合就是用户名/密码了。接下来先进行一个基本的身份认证。

三、Shiro登录认证流程

1、首先调用Subject.login(token)进行登录，其会自动委托给Security Manager，调用之前必须通过SecurityUtils. setSecurityManager()设置；

2、SecurityManager负责真正的身份验证逻辑；它会委托给Authenticator进行身份验证；

3、Authenticator才是真正的身份验证者，Shiro API中核心的身份认证入口点，此处可以自定义插入自己的实现；

4、Authenticator可能会委托给相应的AuthenticationStrategy进行多Realm身份验证，默认ModularRealmAuthenticator会调用AuthenticationStrategy进行多Realm身份验证；

5、Authenticator 会把相应的token 传入Realm，从Realm 获取身份验证信息，如果没有返回/抛出异常表示身份验证失败了。此处可以配置多个Realm，将按照相应的顺序及策略进行访问。

 四、Shiro在SpringBoot中Demo

Config.java

package io.guangsoft.shiro.config;

import java.util.LinkedHashMap;
import java.util.Map;

import io.guangsoft.shiro.realm.Realm;
import org.apache.shiro.authc.credential.HashedCredentialsMatcher;
import org.apache.shiro.mgt.RememberMeManager;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.mgt.CookieRememberMeManager;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.apache.shiro.web.servlet.SimpleCookie;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class Config {

    @Bean
    public Realm realmManager() {
        // 加密相关
        HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher();
        // 散列算法
        hashedCredentialsMatcher.setHashAlgorithmName("md5");
        // 散列次数
        hashedCredentialsMatcher.setHashIterations(2);
        Realm realm = new Realm();
        realm.setCredentialsMatcher(hashedCredentialsMatcher);
        return realm;
    }

    @Bean
    public RememberMeManager rememberMeManager() {
        CookieRememberMeManager rememberMeManager = new CookieRememberMeManager();
        //注入自定义cookie(主要是设置寿命, 默认的一年太长)
        SimpleCookie simpleCookie = new SimpleCookie();
        simpleCookie.setHttpOnly(true);
        //设置RememberMe的cookie有效期为7天
        simpleCookie.setMaxAge(604800);
        rememberMeManager.setCookie(simpleCookie);
        return rememberMeManager;
    }

    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(realmManager());
        securityManager.setRememberMeManager(rememberMeManager());
        return securityManager;
    }

    @Bean
    public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager) {
        ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
        shiroFilterFactoryBean.setSecurityManager(securityManager);
        //当用户未登录则跳转到登录路径
        shiroFilterFactoryBean.setLoginUrl("/login");
        //登录成功后要跳转的链接,表单登录方式有效
        shiroFilterFactoryBean.setSuccessUrl("/index");
        //未授权界面,指定没有权限操作时跳转页面
        shiroFilterFactoryBean.setUnauthorizedUrl("/warning");
        //配置不会被过滤的链接顺序判断,过虑器链定义，从上向下顺序执行，一般将/**放在最下边
        Map<String, String> filterChainDefinitionMap = new LinkedHashMap<String, String>();
        //对静态资源设置匿名访问,anon:所有url都可以匿名访问
        filterChainDefinitionMap.put("/assets/**", "anon");
        //放开登录接口，允许进行登录操作
        filterChainDefinitionMap.put("/shiro/login", "anon");
        //配置退出过滤器,其中的具体的退出代码Shiro已经替我们实现了
        filterChainDefinitionMap.put("/shiro/logout", "logout");
        //authc:所有url都必须认证通过才可以访问
        filterChainDefinitionMap.put("/**", "authc");
        shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
        return shiroFilterFactoryBean;
    }

}

Realm.java

package io.guangsoft.shiro.realm;

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.apache.shiro.util.ByteSource;

import java.util.ArrayList;
import java.util.List;

public class Realm extends AuthorizingRealm {

        //认证,模拟从数据库查询出密码
    @Override
　　 protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String userName = (String) token.getPrincipal();
        String password = "4d521acb9b8b3b4fa082ab16b3bd363a";
        String salt = "guanghe";
        return new SimpleAuthenticationInfo(userName, password, ByteSource.Util.bytes(salt), this.getName());
    }
}

ShiroController.java

package io.guangsoft.shiro.controller;

import com.alibaba.fastjson.JSONObject;
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.*;
import org.apache.shiro.subject.Subject;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("shiro")
public class ShiroController {

    @RequestMapping(value = "login")
    public String login(String username, String password, Boolean rememberMe) {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken(username, password);
        usernamePasswordToken.setRememberMe(rememberMe);
        String msg = null;
        try {
            subject.login(usernamePasswordToken);
            msg = "身份认证成功！";
        } catch (UnknownAccountException e) {
            e.printStackTrace();
            msg = "账号不存在！";
        } catch (LockedAccountException e) {
            e.printStackTrace();
            msg = "账号被锁定！";
        } catch (DisabledAccountException e) {
            e.printStackTrace();
            msg = "账号被禁用！";
        } catch (IncorrectCredentialsException e) {
            e.printStackTrace();
            msg = "凭证/密码错误！";
        } catch (ExpiredCredentialsException e) {
            e.printStackTrace();
            msg = "凭证/密码过期！";
        } catch (ExcessiveAttemptsException e) {
            e.printStackTrace();
            msg = "登录失败次数过多！";
        }
        JSONObject result = new JSONObject();
        if(subject.isAuthenticated()) {
            result.put("code", 0);
        } else {
            result.put("code", -1);
        }
        result.put("msg", msg);
        return result.toString();
    }
}