Shiro安全框架理解

Shiro

权限控制怎么做？

分为两步：

1. 登录 也叫作认证
2. 访问资源，进行校验，也叫作授权。这一步我们分为3个步骤来执行
   1. 用户登录成功之后，查询用户的权限
   2. 指定访问资源需要的权限
   3. 权限校验：拿着访问资源需要的权限去和用户的权限做比较，如果用户存在此权限，就授权访问，反之就拒绝访问。

Shiro就可以帮我们做权限控制这个事情。

Shiro简介

Shiro是一款简单易用的安全框架，由认证、授权、加密、会话管理四个模块组成，功能没有spring security功能强大，但是能够帮我们解决项目中的问题。

主要概括就是两行代码：

1. subject.login(token)   ----认证
2. subject.checkPermission("")    --- 授权

Shiro的组成

Authentication ： 认证 即身份验证。验证用户的身份是否合法

Authorization：授权 即认证后，校验用户是否拥有该权限。如验证某个用户是否拥有某个角色，或细粒度的验证某个用户是否拥有访问某个资源的权限。

Session Management ：会话管理 即用户在登录认证后就是一个会话，如果这个用户没有退出，他的所有信息都在这个会话当中。

Cryptography： 加密 即保护数据的安全性，如密码密码加密后保存到数据库。

Web support ：web支持 即可以容易的集成到web环境当中。

Caching：缓存 即提供缓存，用户在登录后不必每次都去查用户的信息、角色及权限，主要是提高效率

Concurrency：并发多线程 支持多线程并发验证，在线程中开启另外一个线程将权限信息传播出去。

Testing：测试

Run As: 运行方式， 即用户可以在允许的情况下伪装成另外一个用户的身份进行访问。

Remember Me : 记住我

总之：shiro不会自己去维护用户，维护权限。需要我们自己去提供，自己去设计。然后通过相应的接口注入到Shiro即可。

Shiro和系统之间的交互

从图中可以看出：

1. Application Code 应用代码通过Subject来进行认证授权，Subject是Shiro对外的核心API。
2. Subject将认证授权委托给SecurityManager，交由它来管理所有的Subject。SecurityManager是shiro的核心是大脑。所有与安全相关的操作都会与他交互。
3. SecurityManager需要做认证授权就需要从Realm域得到相应的用户进行比较来确定用户的身份信息是否合法。也需要从头Realm得到用户的角色权限验证用户是否具有响应的权限。

Shiro的架构

认证流程：

subject-->Authenticator-->realm-->访问数据库，

授权流程

subjuct-->authorize-->realm-->访问数据库。

shiro过滤器&标签

过滤器

过滤器简称	对应的java类
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl	org.apache.shiro.web.filter.authz.SslFilter
user	org.apache.shiro.web.filter.authc.UserFilter
logout	org.apache.shiro.web.filter.authc.LogoutFilter

anon 放行

authc 认证

perms 过滤器，就是进行权限校验的过滤器

标签

标签名称	标签条件（满足条件，才显示标签内容）
<shiro:authenticated >	登录之后
<shiro:notAuthenticated >	不在登录状态时
<shiro:guest >	用户在没有RememberMe时
<shiro:user >	用户在RememberMe时
<shiro:hasAnyRoles name="abc,123" >	在有abc或者123角色时
<shiro:hasRole name="abc">	拥有角色abc
<shiro:lacksRole name="abc">	没有角色abc
<shiro:hasPermission name="abc">	拥有权限资源abc
<shiro:lacksPermission name="abc">	没有abc权限资源
<shiro:principal >	默认显示用户名称

spring整合Shiro

1. 项目添加shiro依赖

<!--shiro和spring整合-->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-spring</artifactId>
    <version>1.3.2</version>
</dependency>
<!--shiro核心包-->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.3.2</version>
</dependency>

2. 配置web.xml

	<filter>
		<filter-name>shiroFilter</filter-name>
		<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
		<init-param>
			<param-name>targetFilterLifecycle</param-name>
			<param-value>true</param-value>
		</init-param>
	</filter>
	<filter-mapping>
		<filter-name>shiroFilter</filter-name>
		<url-pattern>/*</url-pattern>
	</filter-mapping>

执行过程：Shiro委托代理过滤器，拦截到请求后，会把请求的处理交给spring容器中bean名称是shiroFilter的过滤器工厂bean
所以需要注意：shiroFilter 过滤器名称不能随便写。

3. 创建自定义realm类：AuthRealm，继承AuthorizingRealm,实现认证授权方法

  public class AuthRealm extends AuthorizingRealm {
   
       // 认证
       @Override
       protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
           return null;
       }
   
       // 授权
       @Override
       protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
           return null;
       }
   
   }
   

4. 配置applicationContext-shiro.xml， Spring整合shiro

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">

    <!--1. 配置shiro的过滤器工厂. 这里的bean的id匹配web.xml中的filter-name值-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!--1.1 注入SecurityManager对象，安全管理器-->
        <property name="securityManager" ref="securityManager"/>
        <!--1.2 认证地址。（认证失败后，默认跳转到的登陆页面在这里配置）-->
        <property name="loginUrl" value="/login.jsp"/>
        <!--1.3 认证成功后默认跳转的地址。如果认证成功程序中有指定地址，以程序指定的为主。-->
        <property name="successUrl" value="/index.jsp"/>
        <!--1.4 授权校验失败，默认跳转到的地址-->
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>
        <!--1.5 shiro过滤器配置-->
        <property name="filterChainDefinitions">
            <value>
                <!--A. 配置放行的资源-->
                /css/** = anon
                /img/** = anon
                /make/** = anon
                /plugins/** = anon
                /login.jsp = anon
                /login* = anon
                /index.jsp = anon
                <!--B. 其他资源都需要认证-->
                /** = authc
            </value>
        </property>
    </bean>

    <!--2. 创建SecurityManager对象-->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!--注入自定义的realm-->
        <property name="realm" ref="myRealm"/>
    </bean>

    <!--3. 创建自定义的realm对象-->
    <bean id="myRealm" class="cn.xc.web.shiro.AuthRealm">
        <!--注入凭证匹配器，可以自动对用户输入的密码按照指定的算法进行加密-->
        <property name="credentialsMatcher" ref="credentialsMatcher"/>
    </bean>

    <!--4. 创建凭证匹配器，指定加密算法-->
    <bean id="credentialsMatcher"
          class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
        <!--自动对用户输入的密码按照md5算法进行加密-->
        <property name="hashAlgorithmName" value="md5"/>
    </bean>
</beans>

shiro实现认证

shiro实现授权

shiro提供了四种方式实现权限校验：

1） 硬编码方式

Subject subject = SecurityUtils.getSubject();
subject.checkPermission("部门管理");

2） 过滤器配置方式

/system/user/list.do = perms["用户管理"]

3） 注解方式

@RequiresPermissions(“”)

4） shiro提供的标签

<shiro:hasPermission name="用户管理">
    <a href="#">用户管理</a>
</shiro:hasPermission>