spring boot + shiro 权限认证/控制

淩亂°似流年 2022-01-31 08:27 363阅读 0赞

底下有源码链接  
shiro （java安全框架）  
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理  
Shiro有三大核心组件：

Subject：即当前用户，在权限管理的应用程序里往往需要知道谁能够操作什么，谁拥有操作该程序的权利，shiro中则需要通过Subject来提供基础的当前用户信息，Subject 不仅仅代表某个用户，与当前应用交互的任何东西都是Subject，如网络爬虫等。所有的Subject都要绑定到SecurityManager上，与Subject的交互实际上是被转换为与SecurityManager的交互。

SecurityManager：即所有Subject的管理者，这是Shiro框架的核心组件，可以把他看做是一个Shiro框架的全局管理组件，用于调度各种Shiro框架的服务。作用类似于SpringMVC中的DispatcherServlet，用于拦截所有请求并进行处理。

Realm：Realm是用户的信息认证器和用户的权限人证器，我们需要自己来实现Realm来自定义的管理我们自己系统内部的权限规则。SecurityManager要验证用户，需要从Realm中获取用户。可以把Realm看做是数据源。

[shiro 百度百科简介][shiro]

shiro 框架 采取的 数据库 设计 也 属于 RBAC的原则  
RBAC：  
基于角色的权限访问控制（Role-Based Access Control）作为传统访问控制（自主访问，强制访问）的有前景的代替受到广泛的关注。在RBAC中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。在一个组织中，角色是为了完成各种工作而创造，用户则依据它的责任和资格来被指派相应的角色，用户可以很容易地从一个角色被指派到另一个角色。角色可依新的需求和系统的合并而赋予新的权限，而权限也可根据需要而从某角色中回收。角色与角色的关系可以建立起来以囊括更广泛的客观情况。

[RBAC 百度百科简介][RBAC]

在spring boot 中 引入 shiro 只需要在 Maven 中添加依赖 即可，毕竟 spring boot 原则大于配置，及简化的配置 就是方便.

<dependency>
    			<groupId>org.apache.shiro</groupId>
    			<artifactId>shiro-spring</artifactId>
    			<version>1.4.0</version>
    		</dependency>
    		
            <dependency>
              <groupId>org.springframework</groupId>
              <artifactId>spring-aspects</artifactId>
              <version>5.0.7.RELEASE</version>
            </dependency>

使用的话 添加权限注解 即可：@RequiresPermissions(“url”)  
注解中的url跟数据库的具体权限操作表设置的路径相同，一般配置 shiro的时候 会将这些查出来 以便于权限注解的使用，在此我就不贴我的源码了 需要的朋友 可以去我的网盘下载

[网盘下载地址][Link 1]  
提取码：qp2p

如果 @RequiresPermissions失效 请在 ShiroConfig文件中 加入以下代码：

/**
         * 开启Shiro的注解(如@RequiresRoles,@RequiresPermissions),需借助SpringAOP扫描使用Shiro注解的类,并在必要时进行安全逻辑验证
         * 配置以下两个bean(DefaultAdvisorAutoProxyCreator(可选)和AuthorizationAttributeSourceAdvisor)即可实现此功能
         * @return
         */
        @Bean
        public DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator(){
            DefaultAdvisorAutoProxyCreator advisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();
            advisorAutoProxyCreator.setProxyTargetClass(true);
            return advisorAutoProxyCreator;
        }
        
        @Bean
        public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(){
            AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor = new AuthorizationAttributeSourceAdvisor();
            authorizationAttributeSourceAdvisor.setSecurityManager(securityManager());
            return authorizationAttributeSourceAdvisor;
        }

setUnauthorizedUrl无效时  
奉献一个无权限异常捕捉：

import org.apache.shiro.authz.AuthorizationException;
    import org.apache.shiro.authz.UnauthorizedException;
    import org.springframework.web.bind.annotation.ControllerAdvice;
    import org.springframework.web.bind.annotation.ExceptionHandler;
    import org.springframework.web.bind.annotation.ResponseBody;
    
    /** 
    * @author  作者 : 小布
    * @version 创建时间 : 2019年6月6日 上午11:17:06 
    * @explain 类说明 : 
    */
    @ControllerAdvice
    public class NoPermissionException {
    	
        @ResponseBody
        @ExceptionHandler(UnauthorizedException.class)
        public String handleShiroException(Exception ex) {
            return "无权限";
        }
        
        @ResponseBody
        @ExceptionHandler(AuthorizationException.class)
        public String AuthorizationException(Exception ex) {
            return "权限认证失败";
        }
        
    }

[shiro]: https://baike.baidu.com/item/shiro/17753571?fr=aladdin
[RBAC]: https://baike.baidu.com/item/RBAC/1328788?fr=aladdin
[Link 1]: https://pan.baidu.com/s/19TV4PSYfiXaWVt5YUl0kpQ