springboot-shiro中的问题

朱雀 2021-05-12 11:55 385阅读 0赞

**一：shiro认证流程图**  
![这里写图片描述][70]  
**说明：**我们可以看到AuthenticatingRealm这个类的getAuthenticationInfo方法进行了两个操作：doGetAuthenticationInfo和assertCredentialsMatch。  
那么doGetAuthenticationInfo这个方法是不是很眼熟呢？是的，我们自己写的XXX\_Realm实现的就是这个方法，即获取：从UsernamePasswordToken中获取用户名，从数据库中获取用户名对应的密码，盐值加密和Realm的名字组成的SimpleAuthenticationInfo对象。

@Override
        //UserRealm继承了AuthenticatingRealm这个接口，这个接口中有getAuthenticationInfo这个方法
        //这个方法中有doGetAuthenticationInfo方法和assertCredentialsMatch方法
        //其中assertCredentialsMatch方法用于将doGetAuthenticationInfo返回的AuthenticationInfo对象进行比对，即密码的比对
        //UserRealm重写了doGetAuthenticationInfo方法
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            //1. 把 AuthenticationToken 转换为 UsernamePasswordToken
            UsernamePasswordToken upToken = (UsernamePasswordToken) token;
            //2. 从 UsernamePasswordToken 中来获取 username
            String account = upToken.getUsername();
            //3. 调用数据库的方法, 从数据库中查询 username 对应的用户记录
            List<User> list = commonService.select_userbyaccount(account);
            if (list == null || list.size() == 0) {
                throw new UnknownAccountException("用户不存在!");
            }
            //AuthenticatingRealm
            User user = list.get(0);
            String password_from_db = user.getPassword();
            SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(
                    account,
                    password_from_db,
                    // salt=username+salt,盐值加密
                    ByteSource.Util.bytes(account),
                    getName()
            );
            return authenticationInfo;
        }

其实我们也可以不妨点开我们写的realm继承的类，我们会发现AuthorizingRealm实际上继承的其中一个类就是AuthenticatingRealm这个类，那么看到这里是不是就有点豁然开朗呢？

**问题一：**

**描述：**在shiro中配置了CredentialsMatcher的实现类但是不起作用

/** * HashedCredentialsMatcher，这个类是为了对密码进行编码的， * 防止密码在数据库里明码保存，当然在登陆认证的时候， * 这个类也负责对form里输入的密码进行编码。 * 可以扩展凭证匹配器，实现 输入密码错误次数后锁定等功能，下一次 */
        @Bean(name = "credentialsMatcher")
        public HashedCredentialsMatcher hashedCredentialsMatcher() {
            HashedCredentialsMatcher hashedCredentialsMatcher = new HashedCredentialsMatcher();
            //散列算法:这里使用MD5算法;
            hashedCredentialsMatcher.setHashAlgorithmName("MD5");
            //散列的次数，比如散列两次，相当于 md5(md5(""));
            hashedCredentialsMatcher.setHashIterations(2);
            //storedCredentialsHexEncoded默认是true，此时用的是密码加密用的是Hex编码；false时用Base64编码
            hashedCredentialsMatcher.setStoredCredentialsHexEncoded(true);
            return hashedCredentialsMatcher;
    
        }

**分析：**最开始我以为是 @Bean(name = “credentialsMatcher”)中的名字写错了，应该要写成hashedCredentialsMatcher，但是改了之后发现没什么用，我看网上写的配置文件都是这样的，感觉很奇怪。(毕竟shiro是自学的，很多东西都在摸索)

**解决：**我们的自定义Realm中需要提供一个构造方法，然后再shiro的配置文件中需要在MyRealm的bean配置中将hashedCredentialsMatcher写入MyRealm的构造方法中，不然credentialsMatcher默认实现的类永远都是SimpleCredentialsMatcher，从而无法实现md5加密和盐值加密

public MyRealm(CredentialsMatcher matcher) {
            super(matcher);
    }

@Bean
    @DependsOn("lifecycleBeanPostProcessor")
    public MyRealm userRealm() {
      MyRealm myRealm = new MyRealm(hashedCredentialsMatcher());
      return myRealm;
    }

这里有需要提出来一点，网上大批量的例子是没有写这个的，但是为什么他们的sql脚本中的密码也是加密过的，不是很想吐槽。。。（抄代码都不自己试一下再发布的吗？？？）

**问题二：**

**描述：** shiro继承进来之后，发现用户登入所在的CommonService这个类脱离了aop管理了，原本在这类中被调用的select、insert、update和delete开头的方法都会进行日志处理，但是自从这个类注入到自定义的realm中之后就不被aop所管理了

public class MyRealm extends AuthorizingRealm { 
        private Logger logger = LoggerFactory.getLogger(MyRealm.class);
        @Autowired
        private CommonService commonService;

**分析：** 一脸懵逼中。。。我想静静。。。

**解决：** 擦边球的解决方法就是将shiro所用到的方法写在单独的一个service中，或者所有shiro用到的service将手动加上本来在aop中处理的东西（0.0）

**问题三：**

**描述：** 配上shiro之后，发现原来的swagger不能用了，打开链接之后发现被shiro拦截了

![这里写图片描述][70 1]  
**分析：** 我们可以在XssFilter中将swagger需要访问的url打印出来，然后配到shiro配置文件中  
![这里写图片描述][70 2]  
**解决：** 将这些路径配置到shiro拦截中，配成匿名访问

@Bean(name = "shiroFilter")
        public ShiroFilterFactoryBean shiroFilterFactoryBean(SecurityManager securityManager) {
            ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
            //Shiro的核心安全接口,这个属性是必须的
            shiroFilterFactoryBean.setSecurityManager(securityManager);
            Map<String, Filter> filterMap = new LinkedHashMap<>();
            filterMap.put("authc", new AjaxPermissionsAuthorizationFilter());
            shiroFilterFactoryBean.setFilters(filterMap);
            Map<String, String> filterChainDefinitionMap = new LinkedHashMap<>();
            //============================swagger====================================
            filterChainDefinitionMap.put("/swagger*/**", "anon");
            filterChainDefinitionMap.put("/webjars/**", "anon");
            filterChainDefinitionMap.put("/v2/**", "anon");
            //============================druid====================================
            filterChainDefinitionMap.put("/druid/**", "anon");
            //============================登入====================================
            filterChainDefinitionMap.put(baseuri + "login.do", "anon");
            //============================退出====================================
            filterChainDefinitionMap.put("/login/logout", "anon");
            filterChainDefinitionMap.put("/**", "authc");
            shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
            return shiroFilterFactoryBean;
        }

![这里写图片描述][70 3]

**问题四：****缓存问题**

**描述：** shiro中的缓存默认值问题

**分析：**

1、cachingEnabled：默认值是true，总体缓存的开关，如果设置为false就所有缓存都没了！  
![这里写图片描述][70 4]  
2、authenticationCachingEnabled：默认值是false，即默认是不缓存AuthenticationInfo信息的  
![这里写图片描述][70 5]  
虽然boolean默认值就是false，单单这个地方并不能证明他的值默认值就是false，因为后面还会有AuthenticatingRealm的初始化（调用构造方法），但是很遗憾，AuthenticatingRealm初始化的时候任然给他的值是false  
![这里写图片描述][70 6]  
3、authorizationCachingEnabled：表示权限缓存，默认值是true（这里需要说明一下，网上基本都说这个默认值是false，但是本人亲自测了一下，认为他的默认值应该是true，于是去看了一下源码，毕竟需要用事实说话）  
![这里写图片描述][70 7]  
没错，authorizationCachingEnabled是AuthorizingRealm的一个boolean类型的成员变量，这里说他的默认值是false也没什么毛病，但是AuthorizingRealm初始化（调用构造方法）的时候，就将他赋值为true，事实实验结果也是true  
![这里写图片描述][70 8]

**描述：**

1、自定义shiro缓存文件，defaultCache是必须要的，不然就会报错，让你加一个默认缓存  
![这里写图片描述][70 9]  
2、缓存名字和我设置的名字不一致竟然也不报错，也能进行缓存，一脸懵逼。。这可能就是默认缓存必须要配置的原因

![这里写图片描述][70 10]  
3、一定要将自定义的EhCacheManager配置进入SecurityManager中

@Bean(name = "securityManager")
        public SecurityManager securityManager() {
            DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
            //设置缓存
            securityManager.setCacheManager(getEhCacheManager());
            securityManager.setRealm(userRealm());
            return securityManager;
        }

@Bean
        public EhCacheManager getEhCacheManager() {
            EhCacheManager em = new EhCacheManager();
            //获取自定义的缓存配置文件（默认是classpath:org/apache/shiro/cache/ehcache/ehcache.xml）
             em.setCacheManagerConfigFile("classpath:Ehcache.xml");
            return em;
        }

![这里写图片描述][70 11]  
**github地址：**[https://github.com/mzd123/springboot\_shiro][https_github.com_mzd123_springboot_shiro] （更新中，有兴趣的小伙伴可以下载下来看一看）

[70]: /images/20210511/40868013285944a88c95678b6f6b7c70.png
[70 1]: /images/20210511/158d828df776411ca44c7c5d670ff205.png
[70 2]: /images/20210511/a6bb5517794a4d37ace35510cff82c41.png
[70 3]: /images/20210511/9bcd1a9fb8844c6e9037c19c6cc15271.png
[70 4]: /images/20210511/ae3f47aa84fd4f269d5de78b7f822c8b.png
[70 5]: /images/20210511/16a7d1eef85245ad9ae4aa3cb327096e.png
[70 6]: /images/20210511/afecba04750446fbade6b926c62585f9.png
[70 7]: /images/20210511/f7097392cd50449a8ee4d2dde2674b28.png
[70 8]: /images/20210511/c7181ebed34547809dd629575c9faa28.png
[70 9]: /images/20210511/1aef3c696b594e6c998bca0ad6b8419f.png
[70 10]: /images/20210511/b32fa639d2c4451fa47a254dc5ac1a18.png
[70 11]: /images/20210511/926d89339a8b435dbbe9a1b726038d05.png
[https_github.com_mzd123_springboot_shiro]: https://github.com/mzd123/springboot_shiro