在SpringBoot中Shiro与Mybatis简单整合

电玩女神 2021-08-29 20:13 186阅读 0赞

## 在SpringBoot中Shiro与Mybatis简单整合 ##

Shiro与Mybatis整合顾名思义就是靠Mybatis用数据库里查出用户的用户名和密码还有某样权限，然后Shiro对用户的用户名和密码还有权限进行相应的判断然后做出反应，如果用户名在数据库中不存在那么提示不存在该用户，如果用户名存在但是密码不正确则提示密码错误，如果用户没有某项权限（如，不能访问某页面）则不允许用户访问此页面。

### 1、准备测试的数据表 ###

我这里是三张表

一张user表，存放用户的用户名，密码，和编号

![在这里插入图片描述][20200515031116760.png]

![在这里插入图片描述][20200515031132959.png]  
一张perm表，存放权限的权限名，权限说明，该权限能访问的页面，和权限编号

![在这里插入图片描述][20200515031159326.png]

![在这里插入图片描述][20200515031214753.png]

还有一张中间表，存放uid和pid

![在这里插入图片描述][20200515031226477.png]

![在这里插入图片描述][20200515031237637.png]

这里代表用户1拥有权限1，用户2拥有权限2，用户3拥有权限3，用户4也拥有权限3

### 2、导入相关依赖 ###

<dependency>
                <groupId>org.apache.shiro</groupId>
                <artifactId>shiro-spring</artifactId>
                <version>1.5.3</version>
            </dependency>
    		
            <dependency>
                <groupId>org.mybatis.spring.boot</groupId>
                <artifactId>mybatis-spring-boot-starter</artifactId>
                <version>2.1.2</version>
            </dependency>

### 3、引入pojo实体类 ###

@Data
    @AllArgsConstructor
    @NoArgsConstructor
    @Component
    public class User { 
        /** * 用户编号 */
        private Integer uid;
    
        /** * 用户名 */
        private String username;
    
        /** * 密码 */
        private String password;
        private Perm perm;
    }

因为我们后续需要根据用户的用户名查到用户拥有的权限，所以我们就需要在用户类里声明Perm类对象方便我们使用获得权限的相关数据成员。

@Data
    @NoArgsConstructor
    @AllArgsConstructor
    @Component
    public class Perm{ 
        /** * 权限编号 */
        private Integer pid;
    
        /** * 权限名 */
        private String permname;
    
        /** * 权限说明 */
        private String detail;
    
        /** * 该权限能访问的页面 */
        private String url;
    }

### 4、application.yaml配置一下Mybatis相关 ###

spring:
      datasource:
        driver-class-name: com.mysql.jdbc.Driver
        url: jdbc:mysql://localhost:3306/shiro?useUnicode=true&characterEncoding=utf8&zeroDateTimeBehavior=convertToNull&useSSL=true&serverTimezone=GMT%2B8
        username: root
        password:
        type: com.alibaba.druid.pool.DruidDataSource
    mybatis:
      type-aliases-package: cn.wqk.shiro.pojo
      mapper-locations: classpath:mybatis/mapper/*Mapper.xml

数据源我用的druid，影响不大，也可以使用默认的

### 5、Mapper接口 ###

@Mapper
    @Repository
    public interface UserMapper { 
        //根据用户名查询用户（登录时校验用户用）
        User selectUserByUsername(String username);
    }

这里返回的User类对象里就会有perm对象，我们再用perm对象的getPermname()方法就能得到权限名了

### 6、对应的Mapper.xml文件 ###

<?xml version="1.0" encoding="UTF-8" ?>
    <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
    <mapper namespace="cn.wqk.shiro.mapper.UserMapper">
        <select id="selectUserByUsername" parameterType="string" resultMap="UserMap">
            SELECT
                *
            FROM
                user u,
                perm p,
                user_perm up
            WHERE
                u.username=#{username}
                AND up.uid=u.uid
                AND p.pid=up.pid
        </select>
        <resultMap id="UserMap" type="User">
            <id property="uid" column="uid"/>
            <result property="username" column="username"/>
            <result property="password" column="password"/>
            <association property="perm" javaType="Perm">
                <id property="pid" column="pid"/>
                <result property="permname" column="permname"/>
                <result property="detail" column="detail"/>
                <result property="url" column="url"/>
            </association>
        </resultMap>
    </mapper>

这里用了一对一关系映射查询，通过用户的username查询到用户和该用户的权限信息，所以结果集需要自定义。

### 7、Service业务 ###

把刚刚写好的Mapper封装一下，也可以不用写Service，直接用Mapper也行

@Service
    public interface UserService { 
        //根据用户名查询用户还有他的权限
        User selectUserByUsername(String username);
    }

@Service
    public class UserServiceImpl implements UserService{ 
        @Autowired
        private UserMapper userMapper;
        @Override
        public User selectUserByUsername(String username) { 
            return userMapper.selectUserByUsername(username);
        }
    }

### 8、记得测试一下 ###

@SpringBootTest
    class ShiroApplicationTests { 
    	@Autowired
    	private UserService userService;
    	@Test
    	void contextLoads() { 
    		User user = userService.selectUserByUsername("test");
    		System.out.println(user);
    	}
    
    }

我这里的测试结果是：

![在这里插入图片描述][20200515031253213.png]

不仅打印了用户信息，还打印了权限信息，说明我们的Mybatis的增删改查没问题了

### 9、建立对应的html页面和包 ###

因为我们需要测试三种用户权限：admin，test，guest。admin只能访问admin能访问的页面，test只能访问test页面，guest只能访问guest能访问的页面，因为我用的thymleaf模板引擎，所以我就直接建立html页面。

![在这里插入图片描述][20200515031305481.png]

### 10、我们需要一个Realm对象来帮我们认证和授权 ###

public class UserRealm extends AuthorizingRealm { 
        @Autowired
        private UserService userService;
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { 
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
            Subject subject = SecurityUtils.getSubject();
            User currentUser = (User)subject.getPrincipal();//拿到user对象
            info.addStringPermission(currentUser.getPerm().getPermname());//获取到该user对象的权限并赋给它
            return info;
        }
    
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException { 
            //获取前端给予的Token对象里面封装了用户名和密码
            UsernamePasswordToken userToken=(UsernamePasswordToken)authenticationToken;
            //将token里的用户名用来查询数据库里是否存在该用户
            User user = userService.selectUserByUsername(userToken.getUsername());
            if (user==null){ //如果用户不存在
                return null;//抛出异常UnknownAccountException
            }
            //返回密码
            return new SimpleAuthenticationInfo(user,user.getPassword(),"");
        }
    }

### 11、我们还需要一个ShiroConfig类来自定义我们的Shiro的配置 ###

@Configuration
    public class ShiroConfig { 
        //3、subject
        @Bean
        public ShiroFilterFactoryBean getShiroFilterFactoryBean(@Qualifier("securityManager") DefaultWebSecurityManager getDefaultWebSecurityManager){ 
            ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
            //设置安全管理器
            bean.setSecurityManager(getDefaultWebSecurityManager);
            /* anon：无须认证就可以访问 authc：必须认证了才可以访问 user：必须拥有 记住我 才能访问 perms：拥有对某个资源的权限才能访问 role：拥有某项权限才可以访问 */
            Map<String,String> filterMap=new LinkedHashMap<>();
            //过滤请求请求请求，重要的事情说三遍，不是过滤页面
            //这个请求无须认证都可以访问
            //filterMap.put("/*","anon");
            //这个请求必须认证了才能访问
            //filterMap.put("/user/*","authc");
            // /admin/*请求需要admin权限才能访问
            filterMap.put("/admin/*","perms[admin]");
            // /test/*请求需要test权限才能访问
            filterMap.put("/test/*","perms[test]");
            // /guest/*请求需要guest权限才能访问
            filterMap.put("/guest/*","perms[guest]");
            bean.setFilterChainDefinitionMap(filterMap);
            //如果权限不够就会发起的请求（路由请求，返回没有权限）
            bean.setUnauthorizedUrl("/toUnauthor");
            //如果没有认证就会发送的请求请求（路由请求，让用户登录）
            bean.setLoginUrl("/toLogin");
            return bean;
        }
        //2、SecurityManager
        @Bean(name = "securityManager")
        public DefaultWebSecurityManager getDefaultWebSecurityManager(@Qualifier("realm") UserRealm userRealm){ 
            DefaultWebSecurityManager securityManager=new DefaultWebSecurityManager();
            //关联userRealm
            securityManager.setRealm(userRealm);
            return securityManager;
        }
        //1、Realm
        @Bean(name = "realm")
        public UserRealm userRealm(){ 
            return new UserRealm();
        }
    }

### 12、RouterController路由请求控制器 ###

@Controller
    public class RouterController { 
    
    	//访问首页的请求
        @RequestMapping({ "/","/index","/index.html"})
        public String toIndex(Model model){ 
            model.addAttribute("msg","HelloShiro");
            return "index";
        }
        
        @RequestMapping("/toLogin")
        public String toLogin(){ 
            return "login";
        }
    
    
        @RequestMapping("/toUnauthor")
        @ResponseBody
        public String toUnauthor(){ 
            return "你好像没有权限访问该页面";
        }
    }

toUnauthor请求就是上面的如果没有权限发起的路由请求，然后这个请求就只是返回一个字符串提醒用户

toLogin请求是上面的如果没有认证就会发起的路由请求，然后这个请求的目的就是返回login.html，让用户登录

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
    <span th:text="${msg}" style="color: red;"></span>
    <form th:action="@{/login}" name="login" method="post">
        用户名：<input type="text" name="username" placeholder="用户名">
        密码：<input type="password" name="password" placeholder="这里输入密码">
        <input type="submit" value="提交">
    </form>
    </body>
    </html>

这个页面的作用就是登录，同时将参数传递给login请求，注意toLogin请求和login请求是不一样的，toLogin是路由请求，返回到login.html让用户登录，而login请求就是接收用户传来的参数然后判断

### 13、LoginController登录请求控制器 ###

建议写一个LoginController控制器来专门处理登录login这个请求

@Controller
    public class LoginController { 
        @RequestMapping("/login")
        public String login(@RequestParam("username") String username,
                            @RequestParam("password") String password,
                            Model model){ 
            //获取当前登录用户
            Subject subject= SecurityUtils.getSubject();
            //封装用户登录的数据，以便校验
            UsernamePasswordToken token=new UsernamePasswordToken(username,password);
            try { //成功
                subject.login(token);//subject对象匹配token里的登录密码
                return "index";
            }catch (UnknownAccountException e){ //用户名不存在
                model.addAttribute("msg","用户名不存在");
                return "login";
            }catch (IncorrectCredentialsException e){ //密码错误
                model.addAttribute("msg","密码错误");
                return "login";
            }
        }
    }

### 14、Controller ###

@Controller
    public class TestController { 
        @RequestMapping("/admin/admin")
        public String admin(){ 
            return "admin/admin";
        }
        @RequestMapping("/test/test")
        public String test(){ 
            return "test/test";
        }
        @RequestMapping("/guest/guest")
        public String guest(){ 
            return "guest/guest";
        }
    }

发起对应的请求应该会转到对应的页面

### 15、测试 ###

这个时候我没有登录任何用户，我向浏览器发起/admin/admin请求，提示我没有认证，需要认证

![在这里插入图片描述][20200515031318135.png]

这个时候我登录admin，admin

![在这里插入图片描述][2020051503132762.png]

再次请求/admin/admin，发现能请求到了

![在这里插入图片描述][20200515031335120.png]

我发起/test/test的请求，提示我没有权限

![在这里插入图片描述][20200515031342897.png]

我这次登录test用户：

![在这里插入图片描述][20200515031351969.png]

发起/test/test的请求，能访问到

![在这里插入图片描述][20200515031404343.png]

发起/admin/admin和/guest/guest的请求都无法访问。

#### 最后想特别谢谢一位up，狂神老师：https://space.bilibili.com/95256449?from=search&seid=15091236066275360244 讲的特别好，他的Mybatis，Spring，SpringMVC，SpringBoot个人感觉都讲得特别好，这篇shiro就是他那节课的笔记。 ####

[20200515031116760.png]: /images/20210813/b1fb1fa0301d4511be54b15bc642a760.png
[20200515031132959.png]: /images/20210813/d37b4678598746acbddf94ab4d892e9a.png
[20200515031159326.png]: /images/20210813/2aaf4a6b22794cc591eb1976e61262bb.png
[20200515031214753.png]: /images/20210813/eabdfe5f252f46f48d45ee1172a540ef.png
[20200515031226477.png]: /images/20210813/c0565ee5a1e5437d83258992b5f9cb22.png
[20200515031237637.png]: /images/20210813/0a079a9adf124511bdc664a83b255ae4.png
[20200515031253213.png]: /images/20210813/3191c4f4ba404176b703a57e0f481e41.png
[20200515031305481.png]: /images/20210813/b506b4a798cc4b0aac403acec7039940.png
[20200515031318135.png]: /images/20210813/f174b040283c4ce9ac0ba707fba2e181.png
[2020051503132762.png]: /images/20210813/b71a1cbd3f854492974211f1bce51ed4.png
[20200515031335120.png]: /images/20210813/b74e92daad774a77abfa4a03efafed89.png
[20200515031342897.png]: /images/20210813/146189ffe3ec447d87aa0d667b622092.png
[20200515031351969.png]: /images/20210813/b5137029e9df4f30bb0f873a0b34bacf.png
[20200515031404343.png]: /images/20210813/03dc63adf26e442794cc381167bfb421.png