Shiro权限框架（3）：自定义Realm

骑猪看日落 2022-09-07 01:31 317阅读 0赞

#  一、重写身份验证方法 #

系统用户和权限一般需要去数据库查询。所以需要自定义Realm。**注意要对帐号和密码做非空验证。**

/**
         * 身份验证
         *
         * @param authenticationToken
         * @return
         * @throws AuthenticationException
         */
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException {
            // 1.先通过主体传过来的验证信息获取用户名
            String userName = (String) authenticationToken.getPrincipal();
            //*********
            // 2.通过用户名去数据库中获取凭证 此处只是简单模拟
            String password = "";
            if (!"user".equals(userName)) {
                return null;
            }
            password = "123";
            // ********
            //查询到用户，则返回AuthenticationInfo对象
            SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userName, password, "customRealm");
            return authenticationInfo;
        }

在Controller层进行登录验证

package com.example.demo.controller;
    
    import org.apache.shiro.authc.IncorrectCredentialsException;
    import org.apache.shiro.authc.LockedAccountException;
    import org.apache.shiro.authc.UnknownAccountException;
    import org.apache.shiro.authc.UsernamePasswordToken;
    import org.apache.shiro.subject.Subject;
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.web.bind.annotation.RequestMapping;
    import org.springframework.web.bind.annotation.RestController;
    
    /**
     * 登录控制层
     */
    @RestController
    public class LoginController {
    
          /**
         * 登录功能
         *
         * @param account  账号
         * @param password 密码
         */
        @RequestMapping("/login")
        public Message Login(String account, String password) {
            // 获取主体
            Subject subject = SecurityUtils.getSubject();
            try {// 判断是否认证过
                if (!subject.isAuthenticated()) {
                    // 创建令牌
                    UsernamePasswordToken token = new UsernamePasswordToken(account, password);
                    // 设置记住该用户
                    // token.setRememberMe(true);
                    // 进行身份验证，如果没出异常则登录成功
                    subject.login(token);
                    System.out.println("认证成功");
                }
            } catch (UnknownAccountException uae) {
                return new Message(500, "帐号不存在");
            } catch (IncorrectCredentialsException ice) {
                return new Message(500, "密码错误");
            } catch (LockedAccountException lae) {
                // 该用户名的帐户被锁定，无法登录。给他们一个信息?
            }
            /*
            // 注销
            // subject.logout();
            // 获取Session        
            Session session = subject.getSession();
            Collection<Object> attributeKeys = session.getAttributeKeys();
            attributeKeys.forEach(System.out::println);
            */
            return new Message(200, "登录成功");
        }
    }

# 二、重写授权方法 #

/**
         * 授权
         * @param principalCollection
         * @return
         */
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
            //1.先获取到用户名
            String account = (String) principalCollection.getPrimaryPrincipal();
            //********************* 此处只是模拟
            //2.从数据库或者缓存中获取角色数据
            Set<String> roles = new HashSet<>();
            if("user".equals(account)){
                roles.add("admin");
                roles.add("user"); 
            }
            //3.从数据库或缓存中获取权限数据
            Set<String> permissions = new HashSet<>();
            if("user".equals(account)){
                permissions.add("user:delete"); // 添加一个删除用户权限
            }
            //*************************
            // 创建授权类
            SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
            // 向授权类添加用户拥有的角色和权限
            simpleAuthorizationInfo.setStringPermissions(permissions);
            simpleAuthorizationInfo.setRoles(roles);
            return simpleAuthorizationInfo;
        }

添加测试方法。控制器上通过注解配置详细的角色和权限，多个权限和角色之间默认是“与”关系，可以通过logical参数设置为“或”。

/**
         * 需要拥有admin角色，才能访问
         */
        @RequiresRoles({"admin"})
        @RequestMapping("/testRole")
        public Message testRole() {
            System.out.println("访问testRole()");
            return new Message(200,"访问testRole()");
        }
    
        /**
         * 需要拥有user:delete 才能访问
         */
        @RequiresPermissions({"user:delete"})
        @RequestMapping("/testPermission")
        public Message testPermission() {
            System.out.println("访问testPermission()");
            return new Message(200,"访问testPermission()");
        }
    
        /**
         * 需要拥有unRole角色才能访问
         */
        @RequiresRoles({"unRole"})
        @RequestMapping("/unRole")
        public Message unRole() {
            System.out.println("访问unRole");
            return new Message(200,"访问unRole()");
        }

进行测试

<!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
    系统主页
    <a href="/testRole">访问testRole</a>
    <a href="/testPermission">访问testPermission</a>
    <a href="/unRole">访问unRole</a>
    <button onclick="f('/testRole')"> ajax访问testRole</button>
    <button onclick="f('/testPermission')"> ajax访问testPermission</button>
    <button onclick="f('/unRole')"> ajax访问unRole</button>
    <script src="../js/jquery.js"></script>
    <script>
    
    
        function f(url) {
            $.ajax({
                url: url,
                type: "post",
                data: $("#login-form").serialize(),
                dataType: "json",
                success: function (data) {
                    console.log(data);
                }
            });
        }
    </script>
    </body>
    </html>

登录后访问/testRole和/testPermission可以正常访问，访问/unRole则会抛出AuthorizationException权限异常。

# 三、对Shiro异常进行统一处理 #

package com.buba.shiro;
    
    import com.buba.pojo.Message;
    import org.apache.shiro.ShiroException;
    import org.springframework.web.bind.annotation.ExceptionHandler;
    import org.springframework.web.bind.annotation.RestControllerAdvice;
    
    import javax.servlet.http.HttpServletResponse;
    
    /**
     * 对Shiro抛出的异常进行拦截
     */
    @RestControllerAdvice
    public class ShiroExceptionHandler{
        /**
         * ShiroException 处理方法 注解中指定要处理的异常
         * @param response
         * @return
         */
        @ExceptionHandler(ShiroException.class)
        public Message customException(HttpServletResponse response) {
            Message message = new Message();
            message.setCode(403);
            message.setMessage("没有权限");
            return message;
        }
    }

进行测试

![20210822145144866.png][]

[20210822145144866.png]: /images/20220829/c44653d753b04c02bdeb92423e076f88.png