Apache Shiro 集成-spring

拼搏现实的明天。 2022-03-14 15:46 279阅读 0赞

Shiro 的JavaBean 兼容性使得它非常适合通过Spring XML 或其他基于Spring 的配置机制。Shiro 应用程序需要一个具有单例SecurityManager 实例的应用程序。请注意，这不会是一个静态的单例，但应该只有一个应用程序能够使用的实例，无论它是否是静态单例的。

**Standalone 应用程序**

这里是在Spring 应用程序中启用应用程序单例SecurityManager 的最简单的方法：

<table> 
 <tbody> 
 <tr> 
 <td> &lt;!--&nbsp;Define&nbsp;the&nbsp;realm&nbsp;you&nbsp;want&nbsp;to&nbsp;use&nbsp;to&nbsp;connect&nbsp;to&nbsp;your&nbsp;back-end&nbsp;security&nbsp;datasource:&nbsp;--&gt; &lt;bean&nbsp;id="myRealm"&nbsp;class="..."&gt; ... &lt;/bean&gt; &lt;bean&nbsp;id="securityManager"&nbsp;class="org.apache.shiro.mgt.DefaultSecurityManager"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;Single&nbsp;realm&nbsp;app.&nbsp;&nbsp;If&nbsp;you&nbsp;have&nbsp;multiple&nbsp;realms,&nbsp;use&nbsp;the&nbsp;'realms'&nbsp;property&nbsp;instead.&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="realm"&nbsp;ref="myRealm"/&gt; &lt;/bean&gt; &lt;bean&nbsp;id="lifecycleBeanPostProcessor"&nbsp;class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/&gt; &lt;!--&nbsp;For&nbsp;simplest&nbsp;integration,&nbsp;so&nbsp;that&nbsp;all&nbsp;SecurityUtils.*&nbsp;methods&nbsp;work&nbsp;in&nbsp;all&nbsp;cases,&nbsp;--&gt; &lt;!--&nbsp;make&nbsp;the&nbsp;securityManager&nbsp;bean&nbsp;a&nbsp;static&nbsp;singleton.&nbsp;&nbsp;DO&nbsp;NOT&nbsp;do&nbsp;this&nbsp;in&nbsp;web&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; &lt;!--&nbsp;applications&nbsp;-&nbsp;see&nbsp;the&nbsp;'Web&nbsp;Applications'&nbsp;section&nbsp;below&nbsp;instead.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; &lt;bean&nbsp;class="org.springframework.beans.factory.config.MethodInvokingFactoryBean"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="staticMethod"&nbsp;value="org.apache.shiro.SecurityUtils.setSecurityManager"/&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="arguments"&nbsp;ref="securityManager"/&gt; &lt;/bean&gt; </td> 
 </tr> 
 </tbody> 
</table>

**Web 应用程序**

Shiro 拥有对Spring Web 应用程序的一流支持。在Web 应用程序中，所有Shiro 可访问的请求必须通过一个主要的Shiro 过滤器。该过滤器本身是极为强大的，允许临时的自定义过滤器链基于任何URL 路径表达式执行。

以下是如何在基于Spring web 应用程序中配置Shiro。除了其他Spring web.xml 中的元素（ContextLoaderListener，Log4jConfigListener 等等），定义下面的过滤器及过滤器映射：

web.xml

<table> 
 <tbody> 
 <tr> 
 <td> &lt;!--&nbsp;The&nbsp;filter-name&nbsp;matches&nbsp;name&nbsp;of&nbsp;a&nbsp;'shiroFilter'&nbsp;bean&nbsp;inside&nbsp;applicationContext.xml&nbsp;--&gt; &lt;filter&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;filter-name&gt;shiroFilter&lt;/filter-name&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;filter-class&gt;org.springframework.web.filter.DelegatingFilterProxy&lt;/filter-class&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;init-param&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;param-name&gt;targetFilterLifecycle&lt;/param-name&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;param-value&gt;true&lt;/param-value&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;/init-param&gt; &lt;/filter&gt; ... &lt;!--&nbsp;Make&nbsp;sure&nbsp;any&nbsp;request&nbsp;you&nbsp;want&nbsp;accessible&nbsp;to&nbsp;Shiro&nbsp;is&nbsp;filtered.&nbsp;/*&nbsp;catches&nbsp;all&nbsp;--&gt; &lt;!--&nbsp;requests.&nbsp;&nbsp;Usually&nbsp;this&nbsp;filter&nbsp;mapping&nbsp;is&nbsp;defined&nbsp;first&nbsp;(before&nbsp;all&nbsp;others)&nbsp;to&nbsp;--&gt; &lt;!--&nbsp;ensure&nbsp;that&nbsp;Shiro&nbsp;works&nbsp;in&nbsp;subsequent&nbsp;filters&nbsp;in&nbsp;the&nbsp;filter&nbsp;chain:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; &lt;filter-mapping&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;filter-name&gt;shiroFilter&lt;/filter-name&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;url-pattern&gt;/*&lt;/url-pattern&gt; &lt;/filter-mapping&gt; </td> 
 </tr> 
 </tbody> 
</table>

在你的applicationContext.xml 文件中，定义web 支持的SecurityManager 和'shiroFilter' bean 将会被web.xml 引用。

applicationContext.xml

<table> 
 <tbody> 
 <tr> 
 <td> &lt;bean&nbsp;id="shiroFilter"&nbsp;class="org.apache.shiro.spring.web.ShiroFilterFactoryBean"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="securityManager"&nbsp;ref="securityManager"/&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;override&nbsp;these&nbsp;for&nbsp;application-specific&nbsp;URLs&nbsp;if&nbsp;you&nbsp;like: &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="loginUrl"&nbsp;value="/login.jsp"/&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="successUrl"&nbsp;value="/home.jsp"/&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="unauthorizedUrl"&nbsp;value="/unauthorized.jsp"/&gt;&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;The&nbsp;'filters'&nbsp;property&nbsp;is&nbsp;not&nbsp;necessary&nbsp;since&nbsp;any&nbsp;declared&nbsp;javax.servlet.Filter&nbsp;bean&nbsp;&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;defined&nbsp;will&nbsp;be&nbsp;automatically&nbsp;acquired&nbsp;and&nbsp;available&nbsp;via&nbsp;its&nbsp;beanName&nbsp;in&nbsp;chain&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;definitions,&nbsp;but&nbsp;you&nbsp;can&nbsp;perform&nbsp;instance&nbsp;overrides&nbsp;or&nbsp;name&nbsp;aliases&nbsp;here&nbsp;if&nbsp;you&nbsp;like:&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;&lt;property&nbsp;name="filters"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;util:map&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;entry&nbsp;key="anAlias"&nbsp;value-ref="someFilter"/&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;/util:map&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;/property&gt;&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="filterChainDefinitions"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;value&gt; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;some&nbsp;example&nbsp;chain&nbsp;definitions: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/admin/**&nbsp;=&nbsp;authc,&nbsp;roles[admin] &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/docs/**&nbsp;=&nbsp;authc,&nbsp;perms[document:read] &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/**&nbsp;=&nbsp;authc &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;more&nbsp;URL-to-FilterChain&nbsp;definitions&nbsp;here &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;/value&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;/property&gt; &lt;/bean&gt; &lt;!--&nbsp;Define&nbsp;any&nbsp;javax.servlet.Filter&nbsp;beans&nbsp;you&nbsp;want&nbsp;anywhere&nbsp;in&nbsp;this&nbsp;application&nbsp;context.&nbsp;&nbsp;&nbsp;--&gt; &lt;!--&nbsp;They&nbsp;will&nbsp;automatically&nbsp;be&nbsp;acquired&nbsp;by&nbsp;the&nbsp;'shiroFilter'&nbsp;bean&nbsp;above&nbsp;and&nbsp;made&nbsp;available&nbsp;--&gt; &lt;!--&nbsp;to&nbsp;the&nbsp;'filterChainDefinitions'&nbsp;property.&nbsp;&nbsp;Or&nbsp;you&nbsp;can&nbsp;manually/explicitly&nbsp;add&nbsp;them&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; &lt;!--&nbsp;to&nbsp;the&nbsp;shiroFilter's&nbsp;'filters'&nbsp;Map&nbsp;if&nbsp;desired.&nbsp;See&nbsp;its&nbsp;JavaDoc&nbsp;for&nbsp;more&nbsp;details.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--&gt; &lt;bean&nbsp;id="someFilter"&nbsp;class="..."/&gt; &lt;bean&nbsp;id="anotherFilter"&nbsp;class="..."&gt;&nbsp;...&nbsp;&lt;/bean&gt; ... &lt;bean&nbsp;id="securityManager"&nbsp;class="org.apache.shiro.web.mgt.DefaultWebSecurityManager"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;Single&nbsp;realm&nbsp;app.&nbsp;&nbsp;If&nbsp;you&nbsp;have&nbsp;multiple&nbsp;realms,&nbsp;use&nbsp;the&nbsp;'realms'&nbsp;property&nbsp;instead.&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="realm"&nbsp;ref="myRealm"/&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;By&nbsp;default&nbsp;the&nbsp;servlet&nbsp;container&nbsp;sessions&nbsp;will&nbsp;be&nbsp;used.&nbsp;&nbsp;Uncomment&nbsp;this&nbsp;line &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;to&nbsp;use&nbsp;shiro's&nbsp;native&nbsp;sessions&nbsp;(see&nbsp;the&nbsp;JavaDoc&nbsp;for&nbsp;more):&nbsp;--&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;!--&nbsp;&lt;property&nbsp;name="sessionMode"&nbsp;value="native"/&gt;&nbsp;--&gt; &lt;/bean&gt; &lt;bean&nbsp;id="lifecycleBeanPostProcessor"&nbsp;class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/&gt; &lt;!--&nbsp;Define&nbsp;the&nbsp;Shiro&nbsp;Realm&nbsp;implementation&nbsp;you&nbsp;want&nbsp;to&nbsp;use&nbsp;to&nbsp;connect&nbsp;to&nbsp;your&nbsp;back-end&nbsp;--&gt; &lt;!--&nbsp;security&nbsp;datasource:&nbsp;--&gt; &lt;bean&nbsp;id="myRealm"&nbsp;class="..."&gt; ... &lt;/bean&gt; </td> 
 </tr> 
 </tbody> 
</table>

** Enabling Shiro Annotations**

在Standalone应用程序和Web 应用程序中，你可能想为安全检查使用Shiro 的注释（例如，@RequiresRoles，@RequiresPermissions 等等）。这需要Shiro 的Spring AOP 集成来扫描合适的注解类以及执行必要的安全逻辑。

以下是如何使用这些注解的。只需添加这两个bean 定义到applicationContext.xml 中：

<table> 
 <tbody> 
 <tr> 
 <td> &lt;!--&nbsp;Enable&nbsp;Shiro&nbsp;Annotations&nbsp;for&nbsp;Spring-configured&nbsp;beans.&nbsp;&nbsp;Only&nbsp;run&nbsp;after&nbsp;--&gt; &lt;!--&nbsp;the&nbsp;lifecycleBeanProcessor&nbsp;has&nbsp;run:&nbsp;--&gt; &lt;bean&nbsp;class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"&nbsp;depends-on="lifecycleBeanPostProcessor"/&gt; &lt;bean&nbsp;class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="securityManager"&nbsp;ref="securityManager"/&gt; &lt;/bean&gt; </td> 
 </tr> 
 </tbody> 
</table>

**Secure Spring Remoting**

Shiro 的Spring 远程支持有两部分：配置客户端远程调用和配置服务器接收及处理远程调用。

Server-side Configuration

当一个远程调用方法到达启用Shiro 的服务器时，与该RPC 调用关联的Subject 在线程执行时必须绑定到访问的接收线程。这是通过在applicationContext.xml 中定义SecureRemotInvocationExecutor bean 来完成的：

<table> 
 <tbody> 
 <tr> 
 <td> &lt;!--&nbsp;Secure&nbsp;Spring&nbsp;remoting:&nbsp;&nbsp;Ensure&nbsp;any&nbsp;Spring&nbsp;Remoting&nbsp;method&nbsp;invocations&nbsp;--&gt; &lt;!--&nbsp;can&nbsp;be&nbsp;associated&nbsp;with&nbsp;a&nbsp;Subject&nbsp;for&nbsp;security&nbsp;checks.&nbsp;--&gt; &lt;bean&nbsp;id="secureRemoteInvocationExecutor"&nbsp;class="org.apache.shiro.spring.remoting.SecureRemoteInvocationExecutor"&gt; &nbsp;&nbsp;&nbsp;&nbsp;&lt;property&nbsp;name="securityManager"&nbsp;ref="securityManager"/&gt; &lt;/bean&gt; </td> 
 </tr> 
 </tbody> 
</table>

当你定义这个bean 之后，你必须将其插入到任何你正在用来export/expose 你服务的远程Exporter。Exporter 实现是根据使用的远程处理机制/协议来定义的。请参阅Sping 的Remoting 章节关于定义Exporter bean 的内容。

例如，如果使用基于HTTP 的远程调用（注意secureRemoteInvocationExecutor bean 的相关属性）：

<table> 
 <tbody> 
 <tr> 
 <td> &lt;bean&nbsp;name="/someService"&nbsp;class="org.springframework.remoting.httpinvoker.HttpInvokerServiceExporter"&gt; &lt;property&nbsp;name="service"&nbsp;ref="someService"/&gt; &lt;property&nbsp;name="serviceInterface"&nbsp;value="com.pkg.service.SomeService"/&gt; &lt;property&nbsp;name="remoteInvocationExecutor"&nbsp;ref="secureRemoteInvocationExecutor"/&gt; &lt;/bean&gt; </td> 
 </tr> 
 </tbody> 
</table>

Client-side Configuration

当远程调用被执行后，Subject 的识别信息必须附加到远程调用的负载上使服务器知道是谁作出了该调用。若客户端是一个基于Spring 的客户端，该关联是通过Shiro 的SecureRemoteInvocationFactory 来完成的：

<table> 
 <tbody> 
 <tr> 
 <td> &lt;bean&nbsp;id="secureRemoteInvocationFactory"&nbsp;class="org.apache.shiro.spring.remoting.SecureRemoteInvocationFactory"&gt; </td> 
 </tr> 
 </tbody> 
</table>

在你定义好这个bean 后，你需要将它插入到你正在使用的基于特定协议的Spring remoting ProxyFactoryBean 中。

例如，如果你正在使用基于HTTP 的远程调用（注意上面定义的secureRemoteInvocationFactory bean 的相关属性）：

<table> 
 <tbody> 
 <tr> 
 <td> &lt;bean&nbsp;id="someService"&nbsp;class="org.springframework.remoting.httpinvoker.HttpInvokerProxyFactoryBean"&gt; &lt;property&nbsp;name="serviceUrl"&nbsp;value="http://host:port/remoting/someService"/&gt; &lt;property&nbsp;name="serviceInterface"&nbsp;value="com.pkg.service.SomeService"/&gt; &lt;property&nbsp;name="remoteInvocationFactory"&nbsp;ref="secureRemoteInvocationFactory"/&gt; &lt;/bean&gt; </td> 
 </tr> 
 </tbody> 
</table>