SpringBoot集成Shiro思路以及代码过程

忘是亡心i 2022-05-22 08:12 137阅读 0赞

demo下载地址：[https://download.csdn.net/download/zhou199252/10487384][https_download.csdn.net_download_zhou199252_10487384]

**模型 **

假设存在用户（User）、角色（Role）、权限（Permission）3中模型。依赖关系如下：

用户分配角色，角色分配权限。用户不直接参与权限的分配。

![70][]

**SpringBoot集成Shiro流程 **

demo的代码架构如下：

![70 1][]

**创建IO模型**

User存在：1、唯一ID 2、用户名 3、密码 4、拥有的Role

public class  User \{

private  Integer  uid ;

private  String  username ;

private  String  password ;

private  Set<Role>  roles  =  new  HashSet<>() ;

Role存在：1、唯一ID 2、角色名 3、角色拥有的权限 4、拥有该角色的用户（可以不需要）

public class  Role \{

private  Integer  rid ;

private  String  rname ;

private  Set<Permission>  permissions  =  new  HashSet<>() ;

private  Set<User>  users  =  new  HashSet<>() ;

Permission存在：1、唯一ID 2、权限名 3、。。。

public class  Permission \{

private  Integer  pid ;

private  String  name ;

private  String  url ;

数据库sql如下：

\-- 权限表 --

CREATE TABLE permission (

pid int(11) NOT NULL AUTO\_INCREMENT,

name VARCHAR(255) NOT NULL DEFAULT '',

url VARCHAR(255) DEFAULT '',

PRIMARY KEY (pid)

) ENGINE = InnoDB DEFAULT CHARSET = utf8;

INSERT INTO permission VALUES ('1', 'add', '');

INSERT INTO permission VALUES ('2', 'delete', '');

INSERT INTO permission VALUES ('3', 'edit', '');

INSERT INTO permission VALUES ('4', 'query', '');

\-- 用户表 --

CREATE TABLE user(

uid int(11) NOT NULL AUTO\_INCREMENT,

username VARCHAR(255) NOT NULL DEFAULT '',

password VARCHAR(255) NOT NULL DEFAULT '',

PRIMARY KEY (uid)

) ENGINE = InnoDB DEFAULT CHARSET = utf8;

INSERT INTO user VALUES ('1', 'admin', '123');

INSERT INTO user VALUES ('2', 'demo', '123');

\-- 角色表 --

CREATE TABLE role(

rid int(11) NOT NULL AUTO\_INCREMENT,

rname VARCHAR(255) NOT NULL DEFAULT '',

PRIMARY KEY (rid)

) ENGINE = InnoDB DEFAULT CHARSET = utf8;

INSERT INTO role VALUES ('1', 'admin');

INSERT INTO role VALUES ('2', 'customer');

\-- 权限角色关系表 --

CREATE TABLE permission\_role (

rid int(11) NOT NULL ,

pid int(11) NOT NULL ,

KEY idx\_rid (rid),

KEY idx\_pid (pid)

) ENGINE = InnoDB DEFAULT CHARSET = utf8;

INSERT INTO permission\_role VALUES ('1', '1');

INSERT INTO permission\_role VALUES ('1', '2');

INSERT INTO permission\_role VALUES ('1', '3');

INSERT INTO permission\_role VALUES ('1', '4');

INSERT INTO permission\_role VALUES ('2', '1');

INSERT INTO permission\_role VALUES ('2', '4');

\-- 用户角色关系表 --

CREATE TABLE user\_role (

uid int(11) NOT NULL ,

rid int(11) NOT NULL ,

KEY idx\_uid (uid),

KEY idx\_rid (rid)

) ENGINE = InnoDB DEFAULT CHARSET = utf8;

INSERT INTO user\_role VALUES (1, 1);

INSERT INTO user\_role VALUES (2, 2);

**Mapper的配置**

1、UserMapper

根据用户名去数据库查找实体

public interface  UserMapper \{

User  findByUsername ( @Param ( "username" ) String username) ;

2、service配置存在如下关系

![70 2][]

3、mapper.xml

mapper中配置好各个IO的对应情况

![70 3][]

需要配置读取UserMapper.xml的路径

![70 4][]

application中需要配置需要加载的mapper类路径

![70 5][]

**授权与鉴权**

需要继承 import  org.apache.shiro.realm.AuthorizingRealm ; 实现当中的方法。

![70 6][]

1、第一个方法为授权

2、第二个方法为登陆

**1、授权：**

核心思想：

*  获取当前用户信息
 *  因为user存放的是set<Role>，所以用for循环取出内容
 *  取出的role存放new 出来的List中
 *  利用for循环取出permission放入new出来的List中
 *  将刚才的list放入new SimpleAuthorizationInfo() 中的role和permission中
 *  返回该对象

@Override

protected  AuthorizationInfo  doGetAuthorizationInfo (PrincipalCollection principals)

//  获取 User 用户

User user = (User) principals.fromRealm( this .getClass().getName()).iterator().next() ;

List<String> permissionList =  new  ArrayList<>() ;

List<String> roleNameList =  new  ArrayList<>() ;

Set<Role> roleSet = user.getRoles() ;

if  (roleSet !=  null )

for  (Role role : roleSet)

roleNameList.add(role.getRname()) ;

Set<Permission> permissionSet = role.getPermissions() ;

if  (permissionSet !=  null )

for  (Permission permission : permissionSet)

permissionList.add(permission.getName()) ;

//  需要把角色和权限放入 info 中

SimpleAuthorizationInfo info =  new  SimpleAuthorizationInfo() ;

//  权限设定

info.addStringPermissions(permissionList) ;

//  角色设定

info.addRoles(roleNameList) ;

return  info ;

**1、登陆：**

核心思想：

*  token中获取当前用户信息
 *  因为user存放的是set<Role>，所以用for循环取出内容
 *  取出用户名。用户名和密码是byte存放，可以考虑用new String转换。
 *  返回SimpleAuthenticationInfo对象。包括**用户实体**，密码，该对象名

@Override

protected  AuthenticationInfo  doGetAuthenticationInfo (AuthenticationToken token)  throws  AuthenticationException

UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token ;

String username = usernamePasswordToken.getUsername() ;

User user =  userService .findByUsername(username) ;

return new  SimpleAuthenticationInfo(user ,  user.getPassword() , this .getClass().getName()) ;

**校验重写设定**

继承 SimpleCredentialsMatcher类重写校验方法

校验方法可以自己设定，例如：加密盐（具体需要网上看教程）

这里只是做简单的对比并且返回对比结果。

public class  CredentialMatcher  extends  SimpleCredentialsMatcher

@Override

public boolean  doCredentialsMatch (AuthenticationToken token ,  AuthenticationInfo info)

UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) token ;

String password =  new  String(usernamePasswordToken.getPassword()) ;

String dbPassword = (String) info.getCredentials() ;

return this .equals(password ,  dbPassword) ;

**ShiroConfiguration的配置**

@Configuration

public class  ShiroConfiguration

@Bean ( "shiroFilter" )

public  ShiroFilterFactoryBean  shiroFilter ( @Qualifier ( "securityManager" ) SecurityManager manager)

ShiroFilterFactoryBean bean =  new  ShiroFilterFactoryBean() ;

bean.setSecurityManager(manager) ;

//  登陆界面

bean.setLoginUrl( "/login" ) ;

//  成功登陆后的界面

bean.setSuccessUrl( "/index" ) ;

//  没有权限访问的界面

bean.setUnauthorizedUrl( "/unauthorized" ) ;

//  定制相关表单是否需要相关权限的设定，具体配置信息请看：Shiro-内置的FilterChain

LinkedHashMap<String ,  String> filterChainDefinitionMap =  new  LinkedHashMap<>() ;

** //注意过滤器配置顺序 不能颠倒这里是按照顺序判断的**

// index 界面需要鉴权

filterChainDefinitionMap.put( "/index" ,  "authc" ) ;

// login 、 loginUser 表单不需要验证

filterChainDefinitionMap.put( "/login" ,  "anon" ) ;

filterChainDefinitionMap.put( "/loginUser" ,  "anon" ) ;

// admin 表单需要角色  admin  才能访问

filterChainDefinitionMap.put( "/admin" ,  "roles\[admin\]" ) ;

// edit 表单需要权限  edit  才能访问

filterChainDefinitionMap.put( "/edit" ,  "perms\[edit\]" ) ;

filterChainDefinitionMap.put( "/druid/\*\*" ,  "anon" ) ;

filterChainDefinitionMap.put( "/\*\*" ,  "user" ) ;

bean.setFilterChainDefinitionMap(filterChainDefinitionMap) ;

return  bean ;

@Bean ( "securityManager" )

public  SecurityManager  securityManager ( @Qualifier ( "authRealm" ) AuthRealm authRealm)

DefaultWebSecurityManager manager =  new  DefaultWebSecurityManager() ;

manager.setRealm(authRealm) ;

return  manager ;

@Bean ( "authRealm" )

public  AuthRealm  authRealm ()

AuthRealm authRealm =  new  AuthRealm() ;

*/\*\**

*\* shiro* *自带的* *MemoryConstrainedCacheManager* *作缓存只能用于本机，那么在集群时就无法使用，*

*\**  *如果使用* *ehcache* *、* *redis* *等其他缓存，可以参考* *https://www.cnblogs.com/lic309/p/4072848.html*

*\*/*

authRealm.setCacheManager( new  MemoryConstrainedCacheManager()) ;

//  用 com.mmall.demo2.CredentialMatcher 中自定义的密码比较器对密码进行比较

authRealm.setCredentialsMatcher( new  CredentialMatcher()) ;

return  authRealm ;

//  把 shiro 和 spring 进行绑定

@Bean

public  AuthorizationAttributeSourceAdvisor  authorizationAttributeSourceAdvisor ( @Qualifier ( "securityManager" ) SecurityManager securityManager)

AuthorizationAttributeSourceAdvisor advisor =  new  AuthorizationAttributeSourceAdvisor() ;

advisor.setSecurityManager(securityManager) ;

return  advisor ;

//  开启自动代码，设置为 true 即可

@Bean

public  DefaultAdvisorAutoProxyCreator  defaultAdvisorAutoProxyCreator ()

DefaultAdvisorAutoProxyCreator creator =  new  DefaultAdvisorAutoProxyCreator() ;

creator.setProxyTargetClass( true ) ;

return  creator ;

**其他代码展示**

**Controller代码**

@Controller

public class  TestController

@RequestMapping ( "login" )

public  String  login ()

return  "login" ;

@RequestMapping ( "/index" )

public  String  index ()

return  "index" ;

@RequestMapping ( "/logout" )

public  String  logout ()

//  先验证主体

Subject subject = SecurityUtils. *getSubject* () ;

if  (subject !=  null )

subject.logout() ;

return  "login" ;

@RequestMapping ( "unauthorized" )

public  String  unauthorized ()

return  "unauthorized" ;

@RequestMapping ( "/admin" )

@ResponseBody

public  String  admin ()

return  "admin success" ;

@RequestMapping ( "/edit" )

@ResponseBody

public  String  edit ()

return  "edit success" ;

@RequestMapping ( "/loginUser" )

public  String  loginUser ( @RequestParam ( "username" ) String username ,

@RequestParam ( "password" ) String password ,

HttpSession session)

//  初始化这个用户的 token

UsernamePasswordToken token =  new  UsernamePasswordToken(username ,  password) ;

//  获取事件的主体

Subject subject = SecurityUtils. *getSubject* () ;

try

//  尝试登录

subject.login(token) ;

//  获取用户的全部信息

User user = (User) subject.getPrincipal() ;

//  用于界面输出

session.setAttribute( "user" ,  user) ;

return  "index" ;

catch  (Exception e)

return  "login" ;

**application.properties代码**

\#\#蓝色加粗字体需自行修改

\#\# database \#\#

spring.datasource.type = com . alibaba . druid . pool . DruidDataSource

spring.datasource.driver-class-name = com . mysql . jdbc . Driver

spring.datasource.url = jdbc:mysql://localhost:3306/ **fys** ?characterEncoding=UTF-8

spring.datasource.username = **root**

spring.datasource.password = **root**

\#\# mybatis \#\#

mybatis.mapper-locations = mappers/\*.xml

\#mybatis.type-aliases-package=com.mmall.demo2.model

\#\# jsp \#\#

spring.mvc.view.prefix = /pages/

spring.mvc.view.suffix = .jsp

**index.jsp**

<%@  **page**  contentType=" text/html;charset=UTF-8 " language=" java " %>

<html>

<head>

</head>

<body>

<h1>  欢迎登录 ,  **$\{**  user.username **\}**  </h1>

</body>

</html>

**login.jsp**

<%@  **page**  contentType=" text/html;charset=UTF-8 " language=" java " %>

<html>

<head>

<title> Login </title>

</head>

<body>

</form>

</body>

</html>

**unauthorized.jsp**

<%@  **page**  contentType=" text/html;charset=UTF-8 " language=" java " %>

<html>

<head>

<title> Unauthorized </title>

</head>

<body>

Unauthorized!

</body>

</html>

Shiro-1.2.2内置的FilterChain参考：[https://blog.csdn.net/jadyer/article/details/12172839][https_blog.csdn.net_jadyer_article_details_12172839]

我截取一段关于shiro.xml中关于ShiroFilterFactoryBean配置的说明，如下：

securityManager：这个属性是必须的。

loginUrl：没有登录的用户请求需要登录的页面时自动跳转到登录页面，不是必须的属性，不输入地址的话会自动寻找项目web项目的根目录下的”/login.jsp”页面。

successUrl：登录成功默认跳转页面，不配置则跳转至”/”。如果登陆前点击的一个需要登录的页面，则在登录自动跳转到那个需要登录的页面。不跳转到此。

unauthorizedUrl：没有权限默认跳转的页面。

<table style="width:0px;"> 
 <tbody> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">过滤器简称</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">对应的java类</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">anon</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authc.AnonymousFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">authc</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authc.FormAuthenticationFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">authcBasic</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">perms</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">port</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authz.PortFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">rest</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">roles</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authz.RolesAuthorizationFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">ssl</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authz.SslFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">user</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authc.UserFilter</span> 
    </div> </td> 
  </tr> 
  <tr> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">logout</span> 
    </div> </td> 
   <td style="border-color:#a7a7a7;vertical-align:middle;"> 
    <div> 
     <span style="color:#000000;">org.apache.shiro.web.filter.authc.LogoutFilter</span> 
    </div> </td> 
  </tr> 
 </tbody> 
</table>

anon:例子/admins/\*\*=anon 没有参数，表示可以匿名使用。

authc:例如/admins/user/\*\*=authc表示需要认证(登录)才能使用，没有参数

roles：例子/admins/user/\*\*=roles\[admin\],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，当有多个参数时，例如admins/user/\*\*=roles\["admin,guest"\],每个参数通过才算通过，相当于hasAllRoles()方法。

perms：例子/admins/user/\*\*=perms\[user:add:\*\],参数可以写多个，多个时必须加上引号，并且参数之间用逗号分割，例如/admins/user/\*\*=perms\["user:add:\*,user:modify:\*"\]，当有多个参数时必须每个参数都通过才通过，想当于isPermitedAll()方法。

rest：例子/admins/user/\*\*=rest\[user\],根据请求的方法，相当于/admins/user/\*\*=perms\[user:method\] ,其中method为post，get，delete等。

port：例子/admins/user/\*\*=port\[8081\],当请求的url的端口不是8081是跳转到schemal://serverName:8081?queryString,其中schmal是协议http或https等，serverName是你访问的host,8081是url配置里port的端口，queryString

是你访问的url里的？后面的参数。

authcBasic：例如/admins/user/\*\*=authcBasic没有参数表示httpBasic认证

ssl:例子/admins/user/\*\*=ssl没有参数，表示安全的url请求，协议为https

user:例如/admins/user/\*\*=user没有参数表示必须存在用户，当登入操作时不做检查

注：anon，authcBasic，auchc，user是认证过滤器，

perms，roles，ssl，rest，port是授权过滤器

[https_download.csdn.net_download_zhou199252_10487384]: https://download.csdn.net/download/zhou199252/10487384
[70]: /images/20220522/bef23fc0fd31432da42ed4549484126b.png
[70 1]: /images/20220522/a8f5d536d1df47988d03d8dd668c8d4a.png
[70 2]: /images/20220522/2d28805abd344906aef579641d734460.png
[70 3]: /images/20220522/284b0c56842843c5b3259b390fe8b3c7.png
[70 4]: /images/20220522/1202f3aaac4c465188a8b32cbded3ec7.png
[70 5]: /images/20220522/477727c7c4cf4ebfa6ccde402ce1ac63.png
[70 6]: /images/20220522/995ab980c0644b75807c0358473f40f0.png
[https_blog.csdn.net_jadyer_article_details_12172839]: https://blog.csdn.net/jadyer/article/details/12172839