shiro授权

桃扇骨 2024-04-17 21:11 73阅读 0赞

注意：在realm的情况下，其权限认证策略也是只要有一个realm的权限ok就好了，所以如果有多个realm的话，只要写其中一个就可以了。

来到我们写的realm：

将之前写的改为：

package com.atguigu.shiro.realms;
    
    import org.apache.shiro.authc.*;
    import org.apache.shiro.authz.AuthorizationInfo;
    import org.apache.shiro.authz.SimpleAuthorizationInfo;
    import org.apache.shiro.crypto.hash.SimpleHash;
    import org.apache.shiro.realm.AuthenticatingRealm;
    import org.apache.shiro.realm.AuthorizingRealm;
    import org.apache.shiro.realm.Realm;
    import org.apache.shiro.subject.PrincipalCollection;
    import org.apache.shiro.util.ByteSource;
    
    import java.util.HashSet;
    import java.util.Set;
    
    //由于授权的时候只要有一个ok就可以了，所以，这里写这个realm的授权
    public class ShiroRealm extends AuthorizingRealm {
        //认证
        @Override
        protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
            System.out.println("[FirstRealm]+doGetAuthenticationInfo");
            //1.把AuthenticationToken对象装换为UsernamePasswordToken
            UsernamePasswordToken upToken= (UsernamePasswordToken) token;
            //2.从UsernamePasswordToken中来获取username
            String username = upToken.getUsername();
            //3.调用数据库的方法，从数据库中查询username对应的记录
            System.out.println("从数据库中获取username："+username+"所对应的信息");
            //4.若用户不存在，则可以抛出UnKnownAccountException异常
            if("unknown".equals(username))
            {
                throw new UnknownAccountException("用户不存在！");
            }
            //5.根据用户信息的情况，决定是否需要抛出其他的AuthenticationException异常
            if("monster".equals(username))
            {
                throw new LockedAccountException("用户被锁定！");
            }
            //6.根据用户的情况，来构建AuthenticationInfo对象并且返回
            //通常使用的实现类是SimpleAuthenticationInfo
            //以下信息从数据库中获取
            //<1.principal:认证的实体信息，可以是username也可以是数据表对应的实体类对象
            Object principal=username;
            //<2.credentials:密码
            Object credentials=null;
            if("admin".equals(username))
            {
                credentials="038bdaf98f2037b31f1e75b5b4c9b26e";
            }else if("user".equals(username))
            {
                credentials="098d2c478e9c11555ce2823231e02ec1";
            }
            //<3.realName：当前realm对象的name，调用父类对象的getName（）方法即可
            String realmName=getName();
            //<4 盐值 这个盐值要唯一，我们假设这里用户名是唯一的，我们使用用户名作为盐值
            //盐值的作用：如果两个人的密码一样的话，就要盐值，就像西红柿，家不同的盐味道不一样！
            ByteSource credentialsSalt=ByteSource.Util.bytes(username);
            SimpleAuthenticationInfo info=null;
            info=new SimpleAuthenticationInfo(principal,credentials,credentialsSalt,realmName);
            return info;
        }
    
        public static void main(String[] args) {
            String algorithmName="MD5";
            Object credentials="123456";
            Object salt=ByteSource.Util.bytes("user");
            int hashIterations=1024;
            Object result = new SimpleHash(algorithmName, credentials, salt, hashIterations);
            System.out.println(result);
        }
        //授权
        @Override
        protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
            //从上面可以了解到，这里principal存的是用户的username（唯一），我们可以利用其从数据库中拿到角色）
            //1.从PrincipalCollection中获得登录用户的信息
            Object principal=principals.getPrimaryPrincipal();
            //2.利用登录的用户的个人信息来获得当前用户的角色或者权限(可能需要查询数据库)
            Set<String> roles=new HashSet<>();
            roles.add("user");//为所有的用户添加user角色
            if("admin".equals(principal))//实际中是利用principals从数据库中拿到权限
            {
                roles.add("admin");//如果为登录用户有admin权限，就赋予admin（可能需要查询数据库)
            }
            //3.创建SimpleAuthorizationInfo，并且设置其roles属性
            SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(roles);
            //4.返回SimpleAuthorizationInfo对象
            return info;
        }
    }

而权限信息在map里面配：

public class filterChainDefinitionMapBuilder {
    //采用这种方式，方便从数据库中拿取权限信息！
        public LinkedHashMap<String,String> buildFilterChainDefinitionMap(){
            LinkedHashMap<String, String> map = new LinkedHashMap<>();
            map.put("/login.jsp","anon");
            map.put("/shiro/login","anon");
            map.put("/shiro/logout","logout");
            map.put("/user.jsp","roles[user]");
            map.put("/admin.jsp","roles[admin]");
         
            map.put("/**","authc");
            return map;
        }
    }

这样的话，不同的角色就会有不同的权限，从而访问的页面就有所不同。后面还会讲到如何利用shiro提供的jstl标签在jsp中来使用，从而达到在同一个页面，不同的角色看到的内容会有所不同。