spring shiro原理,shiro-spring
一、导言二。基本功能三。使用Maven包IV。用户登录。登录失败的限制。退出登录VIII。创建Ecache缓存和老化。
目录
阿帕奇希罗是Java的安全框架。目前，越来越多的人使用阿帕奇希罗，因为它很简单。相对于Spring Security，可能没有Spring Security那么强大，但实际工作中可能不需要那么复杂的东西，用小巧简单的Shiro就够了。至于哪个更好，没必要纠结这个，更简单的解决项目问题就好了。Shiro可以很容易的开发出足够好的应用，不仅可以在JavaSE环境下使用，也可以在JavaEE环境下使用。Shiro可以帮助我们：认证、授权、加密、会话管理、与Web集成、缓存等。这就是我们想要的，Shiro的API非常简单。
一.介绍
认证：认证/登录，验证用户是否具有相应的身份；授权：授权，即权限验证，验证被认证的用户是否具有某种权限；即判断用户是否能做某件事，比如验证用户是否有某个角色。或者细粒度的验证用户是否对某个资源有某个权限；会话管理器：会话管理，即用户登录后是一个会话，其所有信息都在他注销前的会话中；会话可以在通用JavaSE环境中，也可以在Web环境中。密码学：保护数据安全的加密技术，如密码加密存储在数据库中而不是明文存储；Web: Web支持，可以轻松集成到Web环境中；缓存：缓存。比如用户登录后，不需要每次都检查用户信息和用户的角色/权限，可以提高效率；并发：shiro支持多线程应用的并发验证，即如果在一个线程中打开另一个线程，权限可以自动传递；测试：提供测试支持；运行方式：允许一个用户伪装成另一个用户(如果他们允许的话)进行访问；记住我：记住我，这是一个很常见的功能，就是登录一次后，下次就不用登录了。记住，Shiro不会维护用户和权限；这些需要我们自己设计/提供；然后通过相应的接口注入到Shiro中。可以看出，应用代码直接交互的对象是Subject，也就是说Shiro的外部API的核心是Subject；每个API的含义：Subject: Subject，代表当前的“用户”。这个用户不一定是特定的人，任何与当前应用交互的东西都是主体，比如网络爬虫、机器人等。即一个抽象的概念；所有主体都绑定到SecurityManager，所有与主体的交互都将委托给Security Manager把主体想成门面；安全是实际执行者；安全：SecurityManager也就是说，所有与安全相关的操作都将与SecurityManager交互；它管理所有主题；可以看出它是Shiro的核心，负责与后面介绍的其他组件进行交互。如果你学过SpringMVC，可以把它想象成DispatcherServlet的前端控制器；Realm: domain，Shiro从Realm获取安全数据(如用户、角色、权限)，也就是说，SecurityManager要验证用户身份，需要从Realm获取相应的用户进行比对，以确定用户身份是否合法；还需要从Realm获取用户对应的角色/权限，验证用户是否可以操作；领域可以被视为一个数据源，即一个安全的数据源。
也就是说，对于我们来说，最简单的Shiro应用：1。应用代码由Subject认证授权，委托给SecurityManager;2.我们需要将Realm注入到Shiro的SecurityManager中，这样SecurityManager就可以获得合法用户及其权限进行判断。从上面也可以看出，Shiro不提供维护用户/权限，而是允许开发者通过Realm注入Subject: subject自己。可以看出，主体可以是任何能够与应用进行交互的“用户”；安全性：相当于SpringMVC或FilterDispatcher中的DispatcherServlet在Struts2中；四郎的心；所有具体的交互都由SecurityManager控制；它管理所有主题，并负责认证和授权、会话和缓存管理。Authenticator: Authenticator，负责主体身份验证。这是一个扩展点。如果用户觉得Shiro的默认不好，可以自定义。它需要认证策略，即当用户认证通过时；授权人：授权人或访问控制者，用于确定主体是否有权限进行相应的操作；也就是说，它控制用户可以访问应用程序中的哪些功能；领域：可以有一个或多个领域，可以认为是安全实体的数量。
据源，即用于获取安全实体的；可以是JDBC实现，也可以是LDAP实现，或者内存实现等等；由用户提供；注意：Shiro不知道你的用户/权限存储在哪及以何种格式存储；所以我们一般在应用中都需要实现自己的Realm；SessionManager：如果写过Servlet就应该知道Session的概念，Session呢需要有人去管理它的生命周期，这个组件就是SessionManager；而Shiro并不仅仅可以用在Web环境，也可以用在如普通的JavaSE环境、EJB等环境；所有呢，Shiro就抽象了一个自己的Session来管理主体与应用之间交互的数据；这样的话，比如我们在Web环境用，刚开始是一台Web服务器；接着又上了台EJB服务器；这时想把两台服务器的会话数据放到一个地方，这个时候就可以实现自己的分布式会话（如把数据放到Memcached服务器）；SessionDAO：DAO大家都用过，数据访问对象，用于会话的CRUD，比如我们想把Session保存到数据库，那么可以实现自己的SessionDAO，通过如JDBC写到数据库；比如想把Session放到Memcached中，可以实现自己的Memcached SessionDAO；另外SessionDAO中可以使用Cache进行缓存，以提高性能；CacheManager：缓存控制器，来管理如用户、角色、权限等的缓存的；因为这些数据基本上很少去改变，放到缓存中后可以提高访问的性能Cryptography：密码模块，Shiro提高了一些常见的加密组件用于如密码加密/解密的。
三.使用Maven包
<shiro.version>1.2.3</shiro.version <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-core</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-web</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-spring</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-all</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-ehcache</artifactId> <version>${shiro.version}</version> </dependency> <dependency> <groupId>org.apache.shiro</groupId> <artifactId>shiro-quartz</artifactId> <version>${shiro.version}</version> </dependency>
四.用户登录
（1）使用用户的登录信息创建令牌
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
token可以理解为用户令牌，登录的过程被抽象为Shiro验证令牌是否具有合法身份以及相关权限。（2）执行登陆
SecurityUtils.setSecurityManager(securityManager); // 注入SecurityManager安全管理器 Subject subject = SecurityUtils.getSubject(); // 获取Subject单例对象 subject.login(token); // 登陆
Shiro的核心部分是SecurityManager，它负责安全认证与授权。Shiro本身已经实现了所有的细节，用户可以完全把它当做一个黑盒来使用。SecurityUtils对象，本质上就是一个工厂类似Spring中的ApplicationContext。Subject是初学者比较难于理解的对象，很多人以为它可以等同于User，其实不然。Subject中文翻译：项目，而正确的理解也恰恰如此。它是你目前所设计的需要通过Shiro保护的项目的一个抽象概念。通过令牌（token）与项目（subject）的登陆（login）关系，Shiro保证了项目整体的安全。
（3）判断用户
Shiro本身无法知道所持有令牌的用户是否合法，因为除了项目的设计人员恐怕谁都无法得知。因此Realm是整个框架中为数不多的必须由设计者自行实现的模块，当然Shiro提供了多种实现的途径，本文只介绍最常见也最重要的一种实现方式——数据库查询。
2.基本代码
/** * 用户登录 * @param user * @param model * @param remember * @return */@RequestMapping("/login")public String login(Student user,Model model,String remember) { ModelAndView view = new ModelAndView("loginerro"); String msg = ""; Subject subject = SecurityUtils.getSubject(); UsernamePasswordToken token = new UsernamePasswordToken(user.getUsername(), user.getPassword(),user.getUsername()); if(remember!=null){ if(remember.equals("记住我")){//记住我 token.setRememberMe(true); } } try { subject.login(token); return "main"; } catch (IncorrectCredentialsException e) { model.addAttribute("errorMsg", "抱歉，您的密码有误"); } catch (ExcessiveAttemptsException e) { msg = "登录失败次数过多"; model.addAttribute("errorMsg", "登录失败次数过多"); System.out.println(msg); } catch (LockedAccountException e) { msg = "帐号已被锁定. The account for username " + token.getPrincipal() + " was locked."; model.addAttribute("errorMsg", "帐号已被锁定"); System.out.println(msg); } catch (DisabledAccountException e) { msg = "帐号已被禁用. The account for username " + token.getPrincipal() + " was disabled."; model.addAttribute("errorMsg", "帐号已被禁用"); System.out.println(msg); } catch (ExpiredCredentialsException e) { msg = "帐号已过期. the account for username " + token.getPrincipal() + " was expired."; model.addAttribute("errorMsg", "帐号已过期"); System.out.println(msg); } catch (UnknownAccountException e) { model.addAttribute("errorMsg", e.getMessage()); } catch (UnauthorizedException e) { msg = "您没有得到相应的授权！" + e.getMessage(); model.addAttribute("errorMsg", "您没有得到相应的授权"); System.out.println(msg); } catch (AccountException e) { msg = e.getMessage(); model.addAttribute("errorMsg", e.getMessage()); System.out.println(msg); } return "home";}
五.Reaml
1.Realm能做的工作主要有以下几个方面：
验证是否能登录，并返回验证信息（getAuthenticationInfo方法）验证是否有访问指定资源的权限，并返回所拥有的所有权限（getAuthorizationInfo方法）判断是否支持token（例如：HostAuthenticationToken，UsernamePasswordToken等）（supports方法）
2.Realm接口的内容，这个接口里有3个方法，内容如下：
AuthenticationInfo getAuthenticationInfo(AuthenticationToken token)boolean supports(AuthenticationToken token)String getName()
3.实现自定义Realm
在权限控制中比较重要的验证（登录或权限）逻辑，都是在Realm中做的。Realm的类继承如下：继承了AuthorizingRealm的类，都要实现上面说的getAuthenticationInfo和getAuthorizationInfo方法，来完成登录和权限的验证。但如果自定义的Realm类只实现Realm接口的话，只需要getAuthenticationInfo方法就可以。下面看一个只实现Realm接口的自定义Realm。
自定义realm代码
public class LoginShiro extends AuthorizingRealm { private static final Logger logger = LogManager.getLogger(LoginShiro.class); @Autowired private UserServerInter userServerInter; @Autowired private RoleServerInter roleServerInter; @Autowired private PermissionServerInter permissionServerInter; @Autowired private UserDao userDao; @Override public String getName() { return "realm"; } /** * 权限认证 * @param principalCollection * @return */ @Override protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) { String currentUsername = (String)super.getAvailablePrincipal(principalCollection); System.out.print("AuthorizationInfo====："+currentUsername); SimpleAuthorizationInfo info = new SimpleAuthorizationInfo(); //根据用户ID查询角色（role），放入到Authorization里。 Set<String> roles = roleServerInter.FindRoleByName(currentUsername); info.setRoles(roles); //根据用户ID查询权限（permission），放入到Authorization里。 Set<String> permissions = permissionServerInter.findPermissionByName(currentUsername); info.setStringPermissions(permissions); return info; } /** * 身份认证 * @param authenticationToken * @return * @throws AuthenticationException */ @Override protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken authenticationToken) throws AuthenticationException { SimpleAuthenticationInfo authenticationInfo = null; UsernamePasswordToken token=(UsernamePasswordToken) authenticationToken; String username = String.valueOf(token.getUsername()); String password = new String(token.getPassword()); Student user= userDao.FindUserByUserName(username); if (null != user) { authenticationInfo = new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(), getName());// //盐值：取用户信息中唯一的字段来生成盐值，避免由于两个用户原始密码相同，加密后的密码也相同 authenticationInfo.setCredentialsSalt(ByteSource.Util.bytes(username+user.getSalt())); }else { throw new AccountException("当前无此用户！"); } return authenticationInfo; } @Override public void clearCachedAuthorizationInfo(PrincipalCollection principals) { super.clearCachedAuthorizationInfo(principals); } @Override public void clearCachedAuthenticationInfo(PrincipalCollection principals) { super.clearCachedAuthenticationInfo(principals); } @Override public void clearCache(PrincipalCollection principals) { super.clearCache(principals); } public void clearAllCachedAuthorizationInfo() { getAuthorizationCache().clear(); } public void clearAllCachedAuthenticationInfo() { getAuthenticationCache().clear(); } /** * 清空缓存 */ public void clearAllCache() { clearAllCachedAuthenticationInfo(); clearAllCachedAuthorizationInfo(); }}
六.登录失败次数限制
1.在spring-shiro配置文件里面配置安全管理器
<bean id="credentialsMatcher" class="com.sxkj.Common.RetryLimitHashedCredentialsMatcher"> <constructor-arg ref="cacheManager" /> <!--加密算法为md5--> <property name="hashAlgorithmName" value="md5" /> <!--3次md5迭代 配置加密的次数--> <property name="hashIterations" value="2" /> <!--是否存储散列后的密码为16进制，需要和生成密码时的一样，默认是base64--> <property name="storedCredentialsHexEncoded" value="true" /> </bean>
2.RetryLimitHashedCredentialsMatcher文件
public class RetryLimitHashedCredentialsMatcher extends HashedCredentialsMatcher { private Cache < String, AtomicInteger> passwordRetryCache; public RetryLimitHashedCredentialsMatcher(CacheManager cacheManager) {// passwordRetryCache = cacheManager.getCache("passwordRetryCache"); } @Override public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {// Strin matches; String username = (String) token.getPrincipal();//retrycount + 1 Object element = EhcacheUtil.getItem(username); if (element == null) { EhcacheUtil.putItem(username, 1); element=0; }else{ int count=Integer.parseInt(element.toString())+1; element=count; EhcacheUtil.putItem(username,element); } AtomicInteger retryCount = new AtomicInteger(Integer.parseInt(element.toString())); if (retryCount.incrementAndGet() > 5) {//if retrycount >5 throw throw new ExcessiveAttemptsException(); } boolean matches = super.doCredentialsMatch(token, info); if (matches) {//clear retrycount EhcacheUtil.removeItem(username); } return matches; }}
七.退出登录
/** * 退出登录 * @return */@RequestMapping("/logout")public String logout(){ Subject subject = SecurityUtils.getSubject(); Session session = subject.getSession(); if (subject.isAuthenticated()) { System.out.println(session.getLastAccessTime()); subject.logout(); } else if(subject.isRemembered()) { subject.logout(); } return "home";}
八.创建Ecache缓存以及时效
1.spring-shir配置ecache
<!--Ehcache缓存管理器 --> <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager"> <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"></property> </bean>
2.Ecache工具类
public class EhcacheUtil { private static final CacheManager cacheManager = CacheManager.getInstance(); /** * 创建ehcache缓存，创建之后的有效期是1小时 */ private static Cache cache = new Cache(new CacheConfiguration("systemCache", 5000).memoryStoreEvictionPolicy(MemoryStoreEvictionPolicy.FIFO).timeoutMillis(300).timeToLiveSeconds( 60 * 60)); static { cacheManager.addCache(cache); } public static void putItem(String key, Object item) { if (cache.get(key) != null) { cache.remove(key); } Element element = new Element(key, item); cache.put(element); } public static void removeItem(String key) { cache.remove(key); } public static void updateItem(String key, Object value) { putItem(key, value); } public static Object getItem(String key) { Element element= cache.get(key); if(null!=element) { return element.getObjectValue(); } return null; }}到此这篇关于SpringMVC+Shiro的基本使用的文章就介绍到这了,更多相关SpringMVCShiro使用内容请搜索盛行IT以前的文章或继续浏览下面的相关文章希望大家以后多多支持盛行IT！
郑重声明：本文由网友发布，不代表盛行IT的观点，版权归原作者所有，仅为传播更多信息之目的，如有侵权请联系，我们将第一时间修改或删除，多谢。