安全认证框架Shiro (一）- ini配置文件

系统管理员 2022-06-17 09:28 487阅读 0赞

***我不是语言的开发者，我只是它的搬运工。每进步一点，5年之后你也是个人物***

**为什么看网上的例子都喜欢用ini格式文件，为什么不用.propertes或xml。**

**我们来看看一个ini格式文件text.ini:**

[main]
    activeDirectoryRealm = org.apache.shiro.realm.activedirectory.ActiveDirectoryRealm
    activeDirectoryRealm.systemUsername = uid=admin,ou=system
    activeDirectoryRealm.systemPassword = secret
    activeDirectoryRealm.searchBase = o=sevenSeas,ou=people
    activeDirectoryRealm.url = ldap://localhost:10389
    [users]
    name=cy
    pwd=123

看了源码才知道，原来shiro框架里新造了一个Ini类，当我们传入资源时，Ini里使用流一行一行的读资源，当遇到”\#”或”;”开头的则直接跳过;

遇到“\[\*\]”则将中括号里的字符串看过Section(区块)的key，后面一行一行都视做该区域的内容直到遇到新的中括号。随后再解读区域下面多行字符串（至少一行），如果遇到“：”或“=”或“”，则前面当做key,后面的则是为value（同时会过滤掉value里前后空格以及“=”前后空格）,存到一个Section里，最后把所有行解析完后放到名为sections的HashMap里。

IniSecurityManagerFacotry继承自IniFactorySupport,而IniFactorySupport有个setIni()方法将解析出来的Ini结构数据保存到该类里，其它什么都不做。

**1.\[users\]部分**

\#提供了对用户/密码及其角色的配置，用户名=密码，角色1，角色2

username=password,role1,role2

例如：

配置用户名/密码及其角色，格式：“用户名=密码，角色1，角色2”，角色部分可省略。如：

\[users\]

zhang=123,role1,role2

wang=123

2. \[roles\]

\#提供了角色及权限之间关系的配置，角色=权限1，权限2

role1=permission1,permission2

例如：

配置角色及权限之间的关系，格式：“角色=权限1，权限2”；如：

\[roles\]

role1=user:create,user:update

role2=\*

如果只有角色没有对应的权限，可以不配roles

3. **\[main\]****部分**

提供了对根对象securityManager及其依赖对象的配置。

创建对象

securityManager=org.apache.shiro.mgt.DefaultSecurityManager

其构造器必须是public空参构造器，通过反射创建相应的实例。

1、对象名=全限定类名  相对于调用public无参构造器创建对象

2、对象名.属性名=值   相当于调用setter方法设置常量值

3、对象名.属性名=$对象引用   相当于调用setter方法设置对象引用

**4.\[urls\] **

\#用于web，提供了对web url拦截相关的配置，url=拦截器\[参数\]，拦截器

/index.html = anon

/admin/\*\* = authc, roles\[admin\],perms\["permission1"\]

5.非标签。不同种类数据注入方式

5.1 Map setter注入

即格式是：map=key：value，key：value，可以注入常量及引用值，常量的话都看作字符串

例如：

authenticator.map=$jdbcRealm:$jdbcRealm,1:1,key:abc

5.2Array/Set/List setter注入

多个之间通过“，”分割。

例如：

authenticator.array=1,2,3

authenticator.set=$jdbcRealm,$jdbcRealm

5.3嵌套属性setter注入

例如：

securityManager.authenticator.authenticationStrategy=$authenticationStrategy

5.4对象引用setter注入

authenticator=org.apache.shiro.authc.pam.ModularRealmAuthenticator

securityManager.authenticator=$authenticator

5.5创建对象

其构造器必须是public空参构造器，通过反射创建相应的实例

securityManager=org.apache.shiro.mgt.DefaultSecurityManager

**源码解析：**

**当配置文件里出现\[users\]或\[roles\]时，IniSecurityManagerFacotry会初始化一个IniRealm做为数据源，把ini传入到IniRealm里，IniRealm的name是“iniRealm”。**

protected Realm createRealm(Ini ini) {
            //IniRealm realm = new IniRealm(ini); changed to support SHIRO-322
            IniRealm realm = new IniRealm();
            realm.setName(INI_REALM_NAME);
            realm.setIni(ini); //added for SHIRO-322
            return realm;
    　　}

**并把realm存到securityManager的realms属性集合里。**

**当出现\[main\]时，说明是主配置。看下面的解析图：**

public Map<String, ?> buildObjects(Map<String, String> kvPairs) {
            if (kvPairs != null && !kvPairs.isEmpty()) {
    
                // Separate key value pairs into object declarations and property assignment
                // so that all objects can be created up front
    
                //https://issues.apache.org/jira/browse/SHIRO-85 - need to use LinkedHashMaps here:
                Map<String, String> instanceMap = new LinkedHashMap<String, String>();
                Map<String, String> propertyMap = new LinkedHashMap<String, String>();
    
                for (Map.Entry<String, String> entry : kvPairs.entrySet()) {
    //不出现“.”或者以“.class”结尾
                    if (entry.getKey().indexOf('.') < 0 || entry.getKey().endsWith(".class")) {
                        instanceMap.put(entry.getKey(), entry.getValue());
                    } else {
                        propertyMap.put(entry.getKey(), entry.getValue());
                    }
                }
    
                // Create all instances
                for (Map.Entry<String, String> entry : instanceMap.entrySet()) {
                    createNewInstance((Map<String, Object>) objects, entry.getKey(), entry.getValue());
                }
    
                // Set all properties
                for (Map.Entry<String, String> entry : propertyMap.entrySet()) {
                    applyProperty(entry.getKey(), entry.getValue(), objects);
                }
            }
    
            //SHIRO-413: init method must be called for constructed objects that are Initializable
            LifecycleUtils.init(objects.values());
    
            return objects;
        }

**这里当key里不出现“.”或者以“.class”结尾，说明是需要实例化的类，value值即为类的全限名，这些实例最张会被反射注入到DefaultSecurityManager的实例securityManager里。否则视为属性，用反射去设置上次实例化的对象属性值。其中objects是包含着key是“securityManager”，value为DefaultSecurityManager对象的Map对象。所有被main标记的都会被注入到securityManager”。**

**当不出现“\[\]”时，“”空即为sections的key。只要第一行没出现”\[\]”则一定会出现key为空的map的键值对。（注意一点，如果没有\[main\]，则取sections里””即空为的key的数据做为主配置）**

** **

**当我们调用IniSecurityManagerFacotry里getInstance()方法时，会根据是否有ini数据来调用不同的方法创建不同的SecurityManager.当有ini时调用**

protected SecurityManager createInstance(Ini ini) {
            if (CollectionUtils.isEmpty(ini)) {
                throw new NullPointerException("Ini argument cannot be null or empty.");
            }
    //createSecurityManager()才是重点
            SecurityManager securityManager = createSecurityManager(ini);
            if (securityManager == null) {
                String msg = SecurityManager.class + " instance cannot be null.";
                throw new ConfigurationException(msg);
            }
            return securityManager;
    　　}

**当没有时调用：**

protected SecurityManager createDefaultInstance() {
            return new DefaultSecurityManager();
    }

**一般将realm标记为\[main\]，那么会生成Realm的实例,保存到DefaultSecurityManager的realms集合里，这样securityManager就有数据源了。**

**再看看网上常用的用shiro的API的例子：**

Factory<org.apache.shiro.mgt.SecurityManager> factory = 
                new IniSecurityManagerFactory("auth.ini");
            // Setting up the SecurityManager...
            org.apache.shiro.mgt.SecurityManager securityManager 
                = factory.getInstance();
            SecurityUtils.setSecurityManager(securityManager);
            Subject user = SecurityUtils.getSubject();

**前面两句很容易理解，就是把配置文件里配置的参数放到Ini里，并把ini传给Realm实例，同时造一个DefaultSecurityManager实例。那后面两句如何理解呢，从字面上其实很容易看出来，将securityManager放到SecurityUtils里，同时从SecurityUtils里取Subject。Subject相当于当前线程里的相当“用户”，体现在程序里即是保存用户相关身份和凭证等的信息，以及操作方法。**

**看看SecurityUtils的setSecurityManager()代码：**

public static void setSecurityManager(SecurityManager securityManager) {
            SecurityUtils.securityManager = securityManager;
        }

**和getSubject():**

public static Subject getSubject() {
    //从线程的上下文环境里取Subject,如果有就返回，没有则创建一个Subect返回并绑定到ThreadContext上。
            Subject subject = ThreadContext.getSubject();
            if (subject == null) {
                subject = (new Subject.Builder()).buildSubject();
                ThreadContext.bind(subject);
            }
            return subject;
        }

**再沿深一个SecurityUtils，其实里面只操作了Subject和SecurityManager.**

![Center][]

**如果我们跳出Ini配置的束缚，我们应该能得到结论，我们应该给SecurityManager提供一个或多个Realm对象在到realms里，比如在spring框架的xml里配，SecurityUtils作用把Subject和SecurityManager关联起来了,只要能把当前用户信息（Subject）和SecurityManager（包含验证的数据来源信息等配置）搭上话，那么要么我们自己用API做事，要么Spring帮我们管理都很方便。**

** **

**6.断点分析**

**我们以如下的配置文件为便说明怎么解析的：**

[main]
    jdbcRealm=org.apache.shiro.realm.jdbc.JdbcRealm
    dataSource=com.alibaba.druid.pool.DruidDataSource
    dataSource.driverClassName=com.mysql.jdbc.Driver
    dataSource.url=jdbc:mysql://localhost:3306/shiro
    dataSource.username=root
    jdbcRealm.dataSource=$dataSource
    
    [users]
    zhang=123,role1,role2
    wang=123
    
    [roles]
    #对资源user拥有create、update权限
    role1=user:create,user:update
    #对资源user拥有create、delete权限
    role2=user:create,user:delete
    
    [urls]
    /index.html = anon  
    /admin/** = authc, roles[admin], perms["permission1"]

**1.** ![Center 1][]

**当执行到Ini里的load()方法里时。读取到main块区域出的多行，看到sectionContext内容是”\[main\]”标签下的多行内容，直到遇到新的标签为止。**

**2.** ![Center 2][]

**在addSection()将上面的sectionContext的内容解析放到Section里，看红色标注的内容，其实Section里用LinkedHaspMap保存Key-value。同时也会将”\[users\]”,”\[roles\]”,”\[urls\]”解析到Section里，并用key-value保存用“=”设置的读，section就是标签名如“main”，最后所以的section会保存到Ini里的sections里，该类是LinkedHaspMap类型。**

**users标签处理：**

![Center 3][]

**SimpleAccount结构体保存users标签里数据并最终放到SimpleAccountRealm的users字典里。**

**到此解析ini文件已经结束。**

**再看看配置的数据怎么用的。iniSecurityManagerFactory.getInstance() 方法里最重要的是createSecurityManager()方法，看看这个方法的信息：**

![Center 4][]

**第一行createDefaults();返回的Map里包含了DefaultSecurityManager和IniRealm，其中IniRealm是包含ini配置文件的Realm。**

**第二行buildInstances()是将ini配置文件里的类实例化属性反射set。**

**结里如下图：**

![Center 5][]

**是不是和配置文件里一样：**

**下面确定是否SecurityManager实例里realms是否有数据，如果没有则遍历上图里所以实例，如果是Realm接口的子类则将该实例放入realms里，同时SecurityManager实例里的authenticator验证器如果是ModularRealmAuthenticator（默认是ModularRealmAuthenticator验证器）则也将realms数据放入authenticator里。可见authenticator已经拿到了数据源，如果我们做验证的话，authenticator会从realm里拿数据做比较。**

**至些iniSecurityManagerFactory.getInstance()方法执行完成，主要逻辑就是把main标记的类实例话，将属性设置到类上，且最终实例话的类设置到securityManager的属性里并返回instancee。其它什么也不做，roles,users,urls不会在此处理。**

**SecurityUtils.setSecurityManager(securityManager)方法没什么逻辑，只是set方法，不值得跟踪。**

**Subjectsubject = SecurityUtils.getSubject()：从当前线程上下文里取，如果没有则创建一个并缓存起来。**

**重点看subject. login(token),token会传到authenticator里，看看数据：**

![Center 6][]

**在验证器里的doAuthenticate方法里取上次赋值的2个realm实例。根据数量选择不同方法，我们有2个，所以执行doMultiRealmAuthentication()方法。在doMultiRealmAuthentication()会遍历realms里所以realm对象，并将相关数据传入realm里。**

**先看IniRealm：**

![Center 7][]

**先看有没有缓存，如果有则说明已经验证过了，直接跳过，如果没有则去执行doGetAuthenticationInfo()方法。**

![Center 8][]

**如果查询到信息则返回tokenInfo，取得的TokenInfo与token在assertCredentialsMatch方法里验证是否匹配。**

![Center 9][]

**匹配器里方法做最终凭证匹配，如果相同则返回true，否则为false.**

![Center 10][]

**验证成功后会一层层返回，**

**1.会通知该验证器所以的监听器**

![Center 11][]

**2.  创建SubjectContext，缓存一些数据，并保存到Subject。下次验证时先从缓存数据里取，如果验证成功则无需再做验证。**

![Center 12][]

[Center]: /images/20220617/59295d62b7084d1abf08abeb14f6e9ee.png
[Center 1]: /images/20220617/edbf90f4a2b942d7bf05f66a0d41309e.png
[Center 2]: /images/20220617/9aac5f0566544bb18e2acc09466c4d2b.png
[Center 3]: /images/20220617/0f378074156044ecb4a251d1a973b332.png
[Center 4]: /images/20220617/8e5a1e4b03ef40c1a2ce3988b45f442a.png
[Center 5]: /images/20220617/bfa9ec9417d64faaa6a3701fcf9cbf18.png
[Center 6]: /images/20220617/ff9cbc6be78f4b289830983fdb40fbe0.png
[Center 7]: /images/20220617/1e8fca91e40d42f5a0ac5c54e0adf34e.png
[Center 8]: /images/20220617/f1b3e23861934024b2d532be3e180702.png
[Center 9]: /images/20220617/7857caf848c54a489967a614209194d8.png
[Center 10]: /images/20220617/2d0af3b1bf444412b4f7a99ba275319d.png
[Center 11]: /images/20220617/176fcb7248c046a6b63eb54e144f21af.png
[Center 12]: /images/20220617/6453d35072ee4d3e8e2c82cab90fc513.png