SpringBoot集成shiro

SpringBoot集成shiro

数据库设计

• sh_user:用户表，一个用户可以有多个角色
  
• sh_role: 角色表，一个角色可以有多个资源
  
• sh_resource：资源表
  
• sh_user_role：用户角色中间表
  
• sh_role_resource：角色资源中间表
  

首先自定义realm抽象类并实现

1. package com.itheima.shiro.core;
3. import org.apache.shiro.authc.AuthenticationException;
4. import org.apache.shiro.authc.AuthenticationInfo;
5. import org.apache.shiro.authc.AuthenticationToken;
6. import org.apache.shiro.authz.AuthorizationInfo;
7. import org.apache.shiro.realm.AuthorizingRealm;
8. import org.apache.shiro.subject.PrincipalCollection;
10. import javax.annotation.PostConstruct;
12. /**
13. * @Description：自定义realm的抽象类
14. */
15. public abstract class ShiroDbRealm extends AuthorizingRealm {
17.     /**
18.      * @Description 认证方法
19.      * @param token token对象
20.      * @return 认证信息
21.      */
22.     @Override
23.     protected abstract AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException ;
25.     /**
26.      * @Description 授权方法
27.      * @param principals 令牌对象
28.      * @return 授权信息
29.      */
30.     @Override
31.     protected abstract AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals);
34.    /**
35.     * @Description 自定义密码比较器
36.     * @param
37.     * @return
38.     */
39.    @PostConstruct
40.    public abstract void initCredentialsMatcher();
41. }

复制代码

实现这个抽象类

1. package com.itheima.shiro.core.impl;
3. import com.itheima.shiro.constant.SuperConstant;
4. import com.itheima.shiro.core.ShiroDbRealm;
5. import com.itheima.shiro.core.base.ShiroUser;
6. import com.itheima.shiro.core.base.SimpleToken;
7. import com.itheima.shiro.core.bridge.UserBridgeService;
8. import com.itheima.shiro.pojo.User;
9. import com.itheima.shiro.utils.BeanConv;
10. import com.itheima.shiro.utils.EmptyUtil;
11. import org.apache.shiro.authc.*;
12. import org.apache.shiro.authc.credential.HashedCredentialsMatcher;
13. import org.apache.shiro.authz.AuthorizationInfo;
14. import org.apache.shiro.subject.PrincipalCollection;
15. import org.apache.shiro.util.ByteSource;
16. import org.springframework.beans.factory.annotation.Autowired;
18. /**
19. * @Description：自定义realm的抽象类实现
20. */
21. public class ShiroDbRealmImpl extends ShiroDbRealm {
23.     @Autowired
24.     UserBridgeService userBridgeService;
26.      /**
27.      * @Description 认证方法
28.      * @param token token对象
29.      * @return 认证信息
30.      */
31.     @Override
32.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
33.         //token令牌信息，这里的SimpleToken继承了UsernamePasswordToken
34.         SimpleToken simpleToken = (SimpleToken) token;
35.         //根据登录名查询user对象
36.         User user = userBridgeService.findUserByLoginName(simpleToken.getUsername());
37.         if (EmptyUtil.isNullOrEmpty(user)){
38.             throw new UnknownAccountException("账号不存在！");
39.         }
40.         //构建认证令牌对象（将User对象转换成ShiroUser对象，ShiroUser类比Users实体类多了资源列表等属性）
41.         ShiroUser shiroUser = BeanConv.toBean(user, ShiroUser.class);
42.         // 根据用户id获取资源列表，并设置到shiroUser对象
43.         shiroUser.setResourceIds(userBridgeService.findResourcesIds(shiroUser.getId()));
44.         String slat  = shiroUser.getSalt();
45.         String password = shiroUser.getPassWord();
46.         //构建认证信息对象:1、令牌对象 2、密文密码  3、加密因子 4、当前realm的名称
47.         return new SimpleAuthenticationInfo(shiroUser, password, ByteSource.Util.bytes(slat), getName());
48.     }
50.      /**
51.      * @Description 授权方法
52.      * @param principals 令牌对象
53.      * @return 授权信息
54.      */
55.     @Override
56.     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
57.         // 获得令牌对象
58.         ShiroUser shiroUser = (ShiroUser) principals.getPrimaryPrincipal();
59.         return userBridgeService.getAuthorizationInfo(shiroUser);
60.     }
62.      /**
63.     * @Description 自定义密码比较器
64.     * @param
65.     * @return
66.     */
67.     @Override
68.     public void initCredentialsMatcher() {
69.         //指定密码算法
70.         HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher(SuperConstant.HASH_ALGORITHM);
71.         //指定迭代次数
72.         hashedCredentialsMatcher.setHashIterations(SuperConstant.HASH_INTERATIONS);
73.         //生效密码比较器
74.         setCredentialsMatcher(hashedCredentialsMatcher);
75.     }
76. }

复制代码

SimpleToken类（说明）

1. package com.itheima.shiro.core.base;
3. import org.apache.shiro.authc.UsernamePasswordToken;
6. /**
7. * @Description 自定义tooken
8. */
9. public class SimpleToken extends UsernamePasswordToken {
10.    
11.     /** serialVersionUID */
12.     private static final long serialVersionUID = -4849823851197352099L;
14.     private String tokenType;
15.    
16.     private String quickPassword;
18.     /**
19.      * Constructor for SimpleToken
20.      * @param tokenType
21.      */
22.     public SimpleToken(String tokenType, String username,String password) {
23.        super(username,password);
24.        this.tokenType = tokenType;
25.     }
26.    
27.     public SimpleToken(String tokenType, String username,String password,String quickPassword) {
28.        super(username,password);
29.        this.tokenType = tokenType;
30.        this.quickPassword = quickPassword;
31.     }
33.     public String getTokenType() {
34.        return tokenType;
35.     }
37.     public void setTokenType(String tokenType) {
38.        this.tokenType = tokenType;
39.     }
41.     public String getQuickPassword() {
42.        return quickPassword;
43.     }
45.     public void setQuickPassword(String quickPassword) {
46.        this.quickPassword = quickPassword;
47.     }
48.    
49.    
50. }

复制代码

userBridgeService接口（说明）

1. package com.itheima.shiro.core.bridge;
3. import com.itheima.shiro.core.base.ShiroUser;
4. import com.itheima.shiro.pojo.User;
5. import org.apache.shiro.authz.AuthorizationInfo;
7. import java.util.List;
9. /**
10. * @Description：用户信息桥接（后期会做缓存）
11. */
12. public interface UserBridgeService {
15.     /**
16.      * @Description 查找用户信息
17.      * @param loginName 用户名称
18.      * @return user对象
19.      */
20.     User findUserByLoginName(String loginName);
22.     /**
23.      * @Description 查询资源ids
24.      * @param userId 用户id
25.      * @return 资源id集合
26.      */
27.     List<String> findResourcesIds(String userId);
29.     /**
30.      * @Description 鉴权方法
31.      * @param shiroUser 令牌对象
32.      * @return 鉴权信息
33.      */
34.     AuthorizationInfo getAuthorizationInfo(ShiroUser shiroUser);
36.     /**
37.      * @Description 查询用户对应角色标识list
38.      * @param userId 用户id
39.      * @return 角色标识集合
40.      */
41.     List<String> findRoleList(String userId);
43.     /**
44.      * @Description 查询用户对应资源标识list
45.      * @param userId 用户id
46.      * @return 资源标识集合
47.      */
48.     List<String> findResourcesList(String userId);
49. }

复制代码

ShiroUser类（说明）

1. package com.itheima.shiro.core.base;
3. import com.itheima.shiro.utils.ToString;
4. import lombok.Data;
6. import java.util.List;
9. /**
10. * @Description 自定义Authentication对象，使得Subject除了携带用户的登录名外还可以携带更多信息
11. */
12. @Data
13. public class  ShiroUser extends ToString {
15.     /** serialVersionUID */
16.     private static final long serialVersionUID = -5024855628064590607L;
18.     /**
19.      * 主键
20.      */
21.     private String id;
23.     /**
24.      * 登录名称
25.      */
26.     private String loginName;
28.     /**
29.      * 真实姓名
30.      */
31.     private String realName;
33.     /**
34.      * 昵称
35.      */
36.     private String nickName;
38.     /**
39.      * 密码
40.      */
41.     private String passWord;
43.     /**
44.      * 加密因子
45.      */
46.     private String salt;
48.     /**
49.      * 性别
50.      */
51.     private Integer sex;
53.     /**
54.      * 邮箱
55.      */
56.     private String zipcode;
58.     /**
59.      * 地址
60.      */
61.     private String address;
63.     /**
64.      * 固定电话
65.      */
66.     private String tel;
68.     /**
69.      * 电话
70.      */
71.     private String mobil;
73.     /**
74.      * 邮箱
75.      */
76.     private String email;
78.     /**
79.      * 职务
80.      */
81.     private String duties;
83.     /**
84.      * 排序
85.      */
86.     private Integer sortNo;
88.     /**
89.      * 是否有效
90.      */
91.     private String enableFlag;
92.    
93.     /**
94.      * @Description 资源列表
95.      */
96.     private List<String> resourceIds;
98.     public ShiroUser() {
99.        super();
100.     }
102.     public ShiroUser(String id, String loginName) {
103.        super();
104.        this.id = id;
105.        this.loginName = loginName;
106.     }
109.     @Override
110.     public int hashCode() {
111.        final int prime = 31;
112.        int result = 1;
113.        result = prime * result + ((email == null) ? 0 : email.hashCode());
114.        result = prime * result + ((id == null) ? 0 : id.hashCode());
115.        result = prime * result
116.              + ((loginName == null) ? 0 : loginName.hashCode());
117.        result = prime * result + ((mobil == null) ? 0 : mobil.hashCode());
118.        return result;
119.     }
121.     @Override
122.     public boolean equals(Object obj) {
123.        if (this == obj)
124.           return true;
125.        if (obj == null)
126.           return false;
127.        if (getClass() != obj.getClass())
128.           return false;
129.        ShiroUser other = (ShiroUser) obj;
130.        if (email == null) {
131.           if (other.email != null)
132.              return false;
133.        } else if (!email.equals(other.email))
134.           return false;
135.        if (id == null) {
136.           if (other.id != null)
137.              return false;
138.        } else if (!id.equals(other.id))
139.           return false;
140.        if (loginName == null) {
141.           if (other.loginName != null)
142.              return false;
143.        } else if (!loginName.equals(other.loginName))
144.           return false;
145.        if (mobil == null) {
146.           if (other.mobil != null)
147.              return false;
148.        } else if (!mobil.equals(other.mobil))
149.           return false;
150.        return true;
151.     }
152.    
153.    
154. }

复制代码

SuperConstant类（说明）

1. package com.itheima.shiro.constant;
4. /**
5. *
6. * @Description 静态变量
7. */
8. public class SuperConstant {
9.    
10.     /**
11.      * 常量是
12.      */
13.     public static final String YES = "YES";
15.     /**
16.      * 常量否
17.      */
18.     public static final String NO = "NO";
19.    
20.     /**
21.      * 匿名用户ID
22.      */
23.     public static final String ANON_ID = "-1";
24.    
25.     /**
26.      * 树形根节点父Id
27.      */
28.     public static final String ROOT_PARENT_ID = "-1";
29.    
30.     /**
31.      * 树形根节点Id
32.      */
33.     public static final String ROOT_ID = "1";
35.     /**
36.      * 匿名用户登录名
37.      */
38.     public static final String ANON_LOGIN_NAME = "ANONYMITY";
40.     /**
41.      * 匿名用户真实名
42.      */
43.     public static final String ANON_REAL_NAME = "匿名";
44.    
45.    
46.     /**
47.      * hash算法
48.      */
49.     public static final String HASH_ALGORITHM = "SHA-1";
50.    
51.     /**
52.      * 计算次数
53.      */
54.     public static final int HASH_INTERATIONS = 1024;
57. }

复制代码

ShiroConfig配置

1. package com.itheima.shiro.config;
3. import com.itheima.shiro.core.ShiroDbRealm;
4. import com.itheima.shiro.core.filter.RolesOrAuthorizationFilter;
5. import com.itheima.shiro.core.impl.ShiroDbRealmImpl;
6. import com.itheima.shiro.properties.PropertiesUtil;
7. import lombok.extern.log4j.Log4j2;
8. import org.apache.shiro.spring.LifecycleBeanPostProcessor;
9. import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
10. import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
11. import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
12. import org.apache.shiro.web.servlet.SimpleCookie;
13. import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
14. import org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator;
15. import org.springframework.context.annotation.Bean;
16. import org.springframework.context.annotation.ComponentScan;
17. import org.springframework.context.annotation.Configuration;
18. import org.springframework.context.annotation.DependsOn;
20. import javax.servlet.Filter;
21. import java.util.HashMap;
22. import java.util.LinkedHashMap;
23. import java.util.List;
24. import java.util.Map;
26. /**
27. * @Description：权限管理配置类
28. */
29. @Configuration
30. // 不配置扫描也可以
31. @ComponentScan(basePackages = "com.itheima.shiro.core")
32. @Log4j2
33. public class ShiroConfig {
35.     //创建cookie对象
36.     @Bean(name = "simpleCookie")
37.     public SimpleCookie simpleCookie(){
38.         SimpleCookie simpleCookie = new SimpleCookie();
39.         simpleCookie.setName("ShiroSession");
40.         return  simpleCookie;
41.     }
43.     //创建权限管理器
44.     @Bean("securityManager")
45.     public DefaultWebSecurityManager defaultWebSecurityManager(){
46.         DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
47.         //管理realm
48.         securityManager.setRealm(shiroDbRealm());
49.         //管理会话
50.         securityManager.setSessionManager(sessionManager());
51.         return securityManager;
52.     }
54.     //自定义realm
55.     @Bean("shiroDbRealm")
56.     public ShiroDbRealm shiroDbRealm(){
57.         return new  ShiroDbRealmImpl();
58.     }
60.     //会话管理器
61.     @Bean("sessionManager")
62.     public DefaultWebSessionManager sessionManager(){
63.         DefaultWebSessionManager sessionManager = new DefaultWebSessionManager();
64.         //关闭会话更新
65.         sessionManager.setSessionValidationSchedulerEnabled(false);
66.         //生效cookie
67.         sessionManager.setSessionIdCookieEnabled(true);
68.         //指定cookie的生成策略
69.         sessionManager.setSessionIdCookie(simpleCookie());
70.         //指定全局会话超时时间
71.         sessionManager.setGlobalSessionTimeout(3600000);
72.         return sessionManager;
73.     }
75.     //创建生命周期的管理
76.     @Bean("lifecycleBeanPostProcessor")
77.     public static LifecycleBeanPostProcessor lifecycleBeanPostProcessor(){
78.         return  new LifecycleBeanPostProcessor();
79.     }
81.     //aop增强（使用注解鉴权方式）
82.     /**
83.      * @Description AOP式方法级权限检查
84.      */
85.     @Bean
86.     @DependsOn("lifecycleBeanPostProcessor")
87.     public DefaultAdvisorAutoProxyCreator getDefaultAdvisorAutoProxyCreator() {
88.         DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();
89.         defaultAdvisorAutoProxyCreator.setProxyTargetClass(true);
90.         return defaultAdvisorAutoProxyCreator;
91.     }
93.     /**
94.      * @Description 配合DefaultAdvisorAutoProxyCreator事项开启注解权限校验
95.      */
96.     @Bean
97.     public AuthorizationAttributeSourceAdvisor getAuthorizationAttributeSourceAdvisor() {
98.         AuthorizationAttributeSourceAdvisor aasa = new AuthorizationAttributeSourceAdvisor();
99.         aasa.setSecurityManager(defaultWebSecurityManager());
100.         return aasa;
101.     }
103.     /**
104.      * @Description 过滤器链定义
105.      */
106.     private Map<String,String> filterChainDefinitionMap(){
107.         // 读取authentication.properties配置文件中的过滤器链定义
108.         // PropertiesUtil是读取配置文件的工具类
109.        List<Object> list =  PropertiesUtil.propertiesShiro.getKeyList();
110.        // 必须创建一个有序的map
111.         Map<String,String> map = new LinkedHashMap<>();
112.         for (Object o : list) {
113.             String key = o.toString();
114.             String val = PropertiesUtil.getShiroValue(key);
115.             map.put(key, val);
116.         }
117.         return map;
118.     }
120.     /**
121.      * @Description 加载自定义过滤器
122.      */
123.     private Map<String, Filter> filters(){
124.         Map<String,Filter> map = new HashMap<>();
125.         // 这里的key表示过滤器的名称
126.         map.put("roles-or", new RolesOrAuthorizationFilter());
127.         return map;
128.     }
130.     //shiro过滤器管理
131.     @Bean("shiroFilter")
132.     public ShiroFilterFactoryBean shiroFilterFactoryBean(){
133.         ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
134.         shiroFilterFactoryBean.setSecurityManager(defaultWebSecurityManager());
135.         //过滤器，指定自己的过滤器
136.         shiroFilterFactoryBean.setFilters(filters());
137.         //过滤器链
138.         shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap());
139.         //登录页面
140.         shiroFilterFactoryBean.setLoginUrl("/login");
141.         //未授权页面
142.         shiroFilterFactoryBean.setUnauthorizedUrl("/login");
143.         return shiroFilterFactoryBean;
144.     }
145. }

复制代码

PropertiesUtil类（说明）

1. package com.itheima.shiro.properties;
3. import com.itheima.shiro.utils.EmptyUtil;
4. import lombok.extern.log4j.Log4j2;
6. /**
7. * @Description 读取Properties的工具类
8. */
9. @Log4j2
10. public class PropertiesUtil {
12.     public static LinkProperties propertiesShiro = new LinkProperties();
14.     /**
15.      * 读取properties配置文件信息
16.      */
17.     static {
18.         String sysName = System.getProperty("sys.name");
19.         if (EmptyUtil.isNullOrEmpty(sysName)) {
20.             sysName = "application.properties";
21.         } else {
22.             sysName += ".properties";
23.         }
24.         try {
25.             propertiesShiro.load(PropertiesUtil.class.getClassLoader()
26.                     .getResourceAsStream("authentication.properties"));
27.         } catch (Exception e) {
28.             log.warn("资源路径中不存在authentication.properties权限文件，忽略读取！");
29.         }
30.     }
32.     /**
33.      * 根据key得到value的值
34.      */
35.     public static String getShiroValue(String key) {
36.         return propertiesShiro.getProperty(key);
37.     }
39. }

复制代码

authentication.properties配置文件

1. /static/**=anon
2. #登录链接不拦截
3. /login/**=anon
4. #访问/resource/**需要有admin的角色
5. /resource/**=roles[dev,SuperAdmin]
6. #其他链接是需要登录的
7. /**=authc ```

复制代码

说明：过滤器链由路径+过滤器组成，它是自上而下有序的，一个一个去匹配的。如果上面匹配失败，则不会匹配下面的内容。
自定义过滤器

1. package com.itheima.shiro.core.filter;
3. import org.apache.shiro.subject.Subject;
4. import org.apache.shiro.util.CollectionUtils;
5. import org.apache.shiro.web.filter.authz.AuthorizationFilter;
7. import javax.servlet.ServletRequest;
8. import javax.servlet.ServletResponse;
9. import java.io.IOException;
10. import java.util.Set;
12. /**
13. * @Description：角色or判断过滤器,只要当前用户包含传入的角色集合中的一个角色，就判断通过
14. */
15. public class RolesOrAuthorizationFilter extends AuthorizationFilter {
17.     //TODO - complete JavaDoc
19.     @SuppressWarnings({"unchecked"})
20.     public boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws IOException {
22.         Subject subject = getSubject(request, response);
23.         String[] rolesArray = (String[]) mappedValue;
25.         if (rolesArray == null || rolesArray.length == 0) {
26.             //no roles specified, so nothing to check - allow access.
27.             return true;
28.         }
30.         Set<String> roles = CollectionUtils.asSet(rolesArray);
31.         for (String role : roles) {
32.             boolean flag = subject.hasRole(role);
33.             if (flag){
34.                 return flag;
35.             }
36.         }
37.         return false;
38.     }
40. }

复制代码

加载自定义过滤器

在 ShiroConfig类中配置如下：

1. /**
2. * @Description 加载自定义过滤器
3. */
4. private Map<String, Filter> filters(){
5.     Map<String,Filter> map = new HashMap<>();
6.     // 这里的key表示过滤器的名称
7.     map.put("roles-or", new RolesOrAuthorizationFilter());
8.     return map;
9. }
11. //shiro过滤器管理
12. @Bean("shiroFilter")
13. public ShiroFilterFactoryBean shiroFilterFactoryBean(){
14.     ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
15.     shiroFilterFactoryBean.setSecurityManager(defaultWebSecurityManager());
16.     //过滤器，指定自定义的过滤器
17.     shiroFilterFactoryBean.setFilters(filters());
18.     //过滤器链
19.     shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap());
20.     //登录页面
21.     shiroFilterFactoryBean.setLoginUrl("/login");
22.     //未授权页面
23.     shiroFilterFactoryBean.setUnauthorizedUrl("/login");
24.     return shiroFilterFactoryBean;
25. }

复制代码

测试自定义过滤器

在 authentication.properties配置文件中修改内容如下：

1. #访问/resource/**需要有SuperAdmin或者dev的角色
2. /resource/**=roles-or[dev,SuperAdmin]

复制代码

注解方式鉴权

来源：程序园用户自行投稿发布，如果侵权，请联系站长删除
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

东西不错很实用谢谢分享

过来提前占个楼

不错，里面软件多更新就更好了

用心讨论，共获提升！