这篇文章我们来学习如何使用Spring Boot集成Apache Shiro。安全应该是互联网公司的一道生命线，几乎任何的公司都会涉及到这方面的需求。在Java领域一般有Spring Security、Apache Shiro等安全框架，但是由于Spring Security过于庞大和复杂，大多数公司会选择Apache Shiro来使用，这篇文章会先介绍一下Apache Shiro，在结合Spring Boot给出使用案例。

Apache Shiro

What is Apache Shiro?

Apache Shiro是一个功能强大、灵活的，开源的安全框架。它可以干净利落地处理身份验证、授权、企业会话管理和加密。

Apache Shiro的首要目标是易于使用和理解。安全通常很复杂，甚至让人感到很痛苦，但是Shiro却不是这样子的。一个好的安全框架应该屏蔽复杂性，向外暴露简单、直观的API，来简化开发人员实现应用程序安全所花费的时间和精力。

Shiro能做什么呢？

  • 验证用户身份
  • 用户访问权限控制，比如：1、判断用户是否分配了一定的安全角色。2、判断用户是否被授予完成某个操作的权限
  • 在非 web 或 EJB 容器的环境下可以任意使用Session API
  • 可以响应认证、访问控制，或者 Session 生命周期中发生的事件
  • 可将一个或以上用户安全数据源数据组合成一个复合的用户 “view”(视图)
  • 支持单点登录(SSO)功能
  • 支持提供“Remember Me”服务，获取用户关联信息而无需登录…

等等——都集成到一个有凝聚力的易于使用的API。

Shiro 致力在所有应用环境下实现上述功能，小到命令行应用程序，大到企业应用中，而且不需要借助第三方框架、容器、应用服务器等。当然 Shiro 的目的是尽量的融入到这样的应用环境中去，但也可以在它们之外的任何环境下开箱即用。

Apache Shiro Features 特性

Apache Shiro是一个全面的、蕴含丰富功能的安全框架。下图为描述Shiro功能的框架图：

Spring Boot 使用 Shiro - 图1

Authentication（认证）, Authorization（授权）, Session Management（会话管理）, Cryptography（加密）被 Shiro 框架的开发团队称之为应用安全的四大基石。那么就让我们来看看它们吧：

  • Authentication（认证）：用户身份识别，通常被称为用户“登录”
  • Authorization（授权）：访问控制。比如某个用户是否具有某个操作的使用权限。
  • Session Management（会话管理）：特定于用户的会话管理,甚至在非web 或 EJB 应用程序。
  • Cryptography（加密）：在对数据源使用加密算法加密的同时，保证易于使用。

还有其他的功能来支持和加强这些不同应用环境下安全领域的关注点。特别是对以下的功能支持：

  • Web支持：Shiro 提供的 web 支持 api ，可以很轻松的保护 web 应用程序的安全。
  • 缓存：缓存是 Apache Shiro 保证安全操作快速、高效的重要手段。
  • 并发：Apache Shiro 支持多线程应用程序的并发特性。
  • 测试：支持单元测试和集成测试，确保代码和预想的一样安全。
  • “Run As”：这个功能允许用户假设另一个用户的身份(在许可的前提下)。
  • “Remember Me”：跨 session 记录用户的身份，只有在强制需要时才需要登录。

注意： Shiro不会去维护用户、维护权限，这些需要我们自己去设计/提供，然后通过相应的接口注入给Shiro

High-Level Overview 高级概述

在概念层，Shiro 架构包含三个主要的理念：Subject,SecurityManager和 Realm。下面的图展示了这些组件如何相互作用，我们将在下面依次对其进行描述。

Spring Boot 使用 Shiro - 图2

  • Subject：当前用户，Subject 可以是一个人，但也可以是第三方服务、守护进程帐户、时钟守护任务或者其它—当前和软件交互的任何事件。
  • SecurityManager：管理所有Subject，SecurityManager 是 Shiro 架构的核心，配合内部安全组件共同组成安全伞。
  • Realms：用于进行权限信息的验证，我们自己实现。Realm 本质上是一个特定的安全 DAO：它封装与数据源连接的细节，得到Shiro 所需的相关的数据。在配置 Shiro 的时候，你必须指定至少一个Realm 来实现认证（authentication）和/或授权（authorization）。

我们需要实现Realms的Authentication 和 Authorization。其中 Authentication 是用来验证用户身份，Authorization 是授权访问控制，用于对用户进行的操作授权，证明该用户是否允许进行当前操作，如访问某个链接，某个资源文件等。

快速上手

基础信息

pom包依赖

  1. <dependencies>
  2.         <dependency>
  3.             <groupId>org.springframework.boot</groupId>
  4.             <artifactId>spring-boot-starter-data-jpa</artifactId>
  5.         </dependency>
  6.         <dependency>
  7.             <groupId>org.springframework.boot</groupId>
  8.             <artifactId>spring-boot-starter-thymeleaf</artifactId>
  9.         </dependency>
  10.         <dependency>
  11.             <groupId>net.sourceforge.nekohtml</groupId>
  12.             <artifactId>nekohtml</artifactId>
  13.             <version>1.9.22</version>
  14.         </dependency>
  15.         <dependency>
  16.             <groupId>org.springframework.boot</groupId>
  17.             <artifactId>spring-boot-starter-web</artifactId>
  18.         </dependency>
  19.         <dependency>
  20.             <groupId>org.apache.shiro</groupId>
  21.             <artifactId>shiro-spring</artifactId>
  22.             <version>1.4.0</version>
  23.         </dependency>
  24.         <dependency>
  25.             <groupId>mysql</groupId>
  26.             <artifactId>mysql-connector-java</artifactId>
  27.             <scope>runtime</scope>
  28.         </dependency>
  29.     </dependencies>

重点是 shiro-spring包

配置文件

  1. spring:
  2.     datasource:
  3.       url: jdbc:mysql://localhost:3306/test
  4.       username: root
  5.       password: root
  6.       driver-class-name: com.mysql.jdbc.Driver
  8.     jpa:
  9.       database: mysql
  10.       show-sql: true
  11.       hibernate:
  12.         ddl-auto: update
  13.         naming:
  14.           strategy: org.hibernate.cfg.DefaultComponentSafeNamingStrategy
  15.       properties:
  16.          hibernate:
  17.             dialect: org.hibernate.dialect.MySQL5Dialect
  19.     thymeleaf:
  20.        cache: false
  21.        mode: LEGACYHTML5

thymeleaf的配置是为了去掉html的校验

页面

我们新建了六个页面用来测试：

  • index.html ：首页
  • login.html ：登录页
  • userInfo.html ： 用户信息页面
  • userInfoAdd.html ：添加用户页面
  • userInfoDel.html ：删除用户页面
  • 403.html ： 没有权限的页面

除过登录页面其它都很简单，大概如下：

  1. <!DOCTYPE html>
  2. <html lang="en">
  3. <head>
  4.     <meta charset="UTF-8">
  5.     <title>Title</title>
  6. </head>
  7. <body>
  8. <h1>index</h1>
  9. </body>
  10. </html>

RBAC

RBAC 是基于角色的访问控制（Role-Based Access Control ）在 RBAC 中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。这样管理都是层级相互依赖的，权限赋予给角色，而把角色又赋予用户，这样的权限设计很清楚，管理起来很方便。

采用jpa技术来自动生成基础表格，对应的entity如下：

用户信息

  1. @Entity
  2. public class UserInfo implements Serializable {
  3.     @Id
  4.     @GeneratedValue
  5.     private Integer uid;
  6.     @Column(unique =true)
  7.     private String username;//帐号
  8.     private String name;//名称（昵称或者真实姓名，不同系统不同定义）
  9.     private String password; //密码;
  10.     private String salt;//加密密码的盐
  11.     private byte state;//用户状态,0:创建未认证（比如没有激活，没有输入验证码等等）--等待验证的用户 , 1:正常状态,2：用户被锁定.
  12.     @ManyToMany(fetch= FetchType.EAGER)//立即从数据库中进行加载数据;
  13.     @JoinTable(name = "SysUserRole", joinColumns = { @JoinColumn(name = "uid") }, inverseJoinColumns ={@JoinColumn(name = "roleId") })
  14.     private List<SysRole> roleList;// 一个用户具有多个角色
  16.     // 省略 get set 方法
  17.  }

角色信息

  1. @Entity
  2. public class SysRole {
  3.     @Id@GeneratedValue
  4.     private Integer id; // 编号
  5.     private String role; // 角色标识程序中判断使用,如"admin",这个是唯一的:
  6.     private String description; // 角色描述,UI界面显示使用
  7.     private Boolean available = Boolean.FALSE; // 是否可用,如果不可用将不会添加给用户
  9.     //角色 -- 权限关系：多对多关系;
  10.     @ManyToMany(fetch= FetchType.EAGER)
  11.     @JoinTable(name="SysRolePermission",joinColumns={@JoinColumn(name="roleId")},inverseJoinColumns={@JoinColumn(name="permissionId")})
  12.     private List<SysPermission> permissions;
  14.     // 用户 - 角色关系定义;
  15.     @ManyToMany
  16.     @JoinTable(name="SysUserRole",joinColumns={@JoinColumn(name="roleId")},inverseJoinColumns={@JoinColumn(name="uid")})
  17.     private List<UserInfo> userInfos;// 一个角色对应多个用户
  19.     // 省略 get set 方法
  20.  }

权限信息

  1. @Entity
  2. public class SysPermission implements Serializable {
  3.     @Id@GeneratedValue
  4.     private Integer id;//主键.
  5.     private String name;//名称.
  6.     @Column(columnDefinition="enum('menu','button')")
  7.     private String resourceType;//资源类型，[menu|button]
  8.     private String url;//资源路径.
  9.     private String permission; //权限字符串,menu例子：role:*，button例子：role:create,role:update,role:delete,role:view
  10.     private Long parentId; //父编号
  11.     private String parentIds; //父编号列表
  12.     private Boolean available = Boolean.FALSE;
  13.     @ManyToMany
  14.     @JoinTable(name="SysRolePermission",joinColumns={@JoinColumn(name="permissionId")},inverseJoinColumns={@JoinColumn(name="roleId")})
  15.     private List<SysRole> roles;
  17.     // 省略 get set 方法
  18.  }

根据以上的代码会自动生成user_info（用户信息表）、sys_role（角色表）、sys_permission（权限表）、sys_user_role（用户角色表）、sys_role_permission（角色权限表）这五张表，为了方便测试我们给这五张表插入一些初始化数据：

  1. INSERT INTO `user_info` (`uid`,`username`,`name`,`password`,`salt`,`state`) VALUES ('1', 'admin', '管理员', 'd3c59d25033dbf980d29554025c23a75', '8d78869f470951332959580424d4bf4f', 0);
  2. INSERT INTO `sys_permission` (`id`,`available`,`name`,`parent_id`,`parent_ids`,`permission`,`resource_type`,`url`) VALUES (1,0,'用户管理',0,'0/','userInfo:view','menu','userInfo/userList');
  3. INSERT INTO `sys_permission` (`id`,`available`,`name`,`parent_id`,`parent_ids`,`permission`,`resource_type`,`url`) VALUES (2,0,'用户添加',1,'0/1','userInfo:add','button','userInfo/userAdd');
  4. INSERT INTO `sys_permission` (`id`,`available`,`name`,`parent_id`,`parent_ids`,`permission`,`resource_type`,`url`) VALUES (3,0,'用户删除',1,'0/1','userInfo:del','button','userInfo/userDel');
  5. INSERT INTO `sys_role` (`id`,`available`,`description`,`role`) VALUES (1,0,'管理员','admin');
  6. INSERT INTO `sys_role` (`id`,`available`,`description`,`role`) VALUES (2,0,'VIP会员','vip');
  7. INSERT INTO `sys_role` (`id`,`available`,`description`,`role`) VALUES (3,1,'test','test');
  8. INSERT INTO `sys_role_permission` VALUES ('1', '1');
  9. INSERT INTO `sys_role_permission` (`permission_id`,`role_id`) VALUES (1,1);
  10. INSERT INTO `sys_role_permission` (`permission_id`,`role_id`) VALUES (2,1);
  11. INSERT INTO `sys_role_permission` (`permission_id`,`role_id`) VALUES (3,2);
  12. INSERT INTO `sys_user_role` (`role_id`,`uid`) VALUES (1,1);

Shiro 配置

首先要配置的是ShiroConfig类，Apache Shiro 核心通过 Filter 来实现，就好像SpringMvc 通过DispachServlet 来主控制一样。既然是使用 Filter 一般也就能猜到，是通过URL规则来进行过滤和权限校验，所以我们需要定义一系列关于URL的规则和访问权限。

ShiroConfig

  1. @Configuration
  2. public class ShiroConfig {
  3.     @Bean
  4.     public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager) {
  5.         System.out.println("ShiroConfiguration.shirFilter()");
  6.         ShiroFilterFactoryBean shiroFilterFactoryBean = new ShiroFilterFactoryBean();
  7.         shiroFilterFactoryBean.setSecurityManager(securityManager);
  8.         //拦截器.
  9.         Map<String,String> filterChainDefinitionMap = new LinkedHashMap<String,String>();
  10.         // 配置不会被拦截的链接 顺序判断
  11.         filterChainDefinitionMap.put("/static/**", "anon");
  12.         //配置退出 过滤器,其中的具体的退出代码Shiro已经替我们实现了
  13.         filterChainDefinitionMap.put("/logout", "logout");
  14.         //<!-- 过滤链定义，从上向下顺序执行，一般将/**放在最为下边 -->:这是一个坑呢，一不小心代码就不好使了;
  15.         //<!-- authc:所有url都必须认证通过才可以访问; anon:所有url都都可以匿名访问-->
  16.         filterChainDefinitionMap.put("/**", "authc");
  17.         // 如果不设置默认会自动寻找Web工程根目录下的"/login.jsp"页面
  18.         shiroFilterFactoryBean.setLoginUrl("/login");
  19.         // 登录成功后要跳转的链接
  20.         shiroFilterFactoryBean.setSuccessUrl("/index");
  22.         //未授权界面;
  23.         shiroFilterFactoryBean.setUnauthorizedUrl("/403");
  24.         shiroFilterFactoryBean.setFilterChainDefinitionMap(filterChainDefinitionMap);
  25.         return shiroFilterFactoryBean;
  26.     }
  28.     @Bean
  29.     public MyShiroRealm myShiroRealm(){
  30.         MyShiroRealm myShiroRealm = new MyShiroRealm();
  31.         return myShiroRealm;
  32.     }
  35.     @Bean
  36.     public SecurityManager securityManager(){
  37.         DefaultWebSecurityManager securityManager =  new DefaultWebSecurityManager();
  38.         securityManager.setRealm(myShiroRealm());
  39.         return securityManager;
  40.     }
  41. }

Filter Chain定义说明：

  • 1、一个URL可以配置多个Filter，使用逗号分隔
  • 2、当设置多个过滤器时，全部验证通过，才视为通过
  • 3、部分过滤器可指定参数，如perms，roles

Shiro内置的FilterChain

Filter Name Class
anon org.apache.shiro.web.filter.authc.AnonymousFilter
authc org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port org.apache.shiro.web.filter.authz.PortFilter
rest org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl org.apache.shiro.web.filter.authz.SslFilter
user org.apache.shiro.web.filter.authc.UserFilter
  • anon:所有url都都可以匿名访问
  • authc: 需要认证才能进行访问
  • user:配置记住我或认证通过可以访问

登录认证实现

在认证、授权内部实现机制中都有提到，最终处理都将交给Real进行处理。因为在Shiro中，最终是通过Realm来获取应用程序中的用户、角色及权限信息的。通常情况下，在Realm中会直接从我们的数据源中获取Shiro需要的验证信息。可以说，Realm是专用于安全框架的DAO.Shiro的认证过程最终会交由Realm执行，这时会调用Realm的getAuthenticationInfo(token)方法。

该方法主要执行以下操作:

  • 1、检查提交的进行认证的令牌信息
  • 2、根据令牌信息从数据源(通常为数据库)中获取用户信息
  • 3、对用户信息进行匹配验证。
  • 4、验证通过将返回一个封装了用户信息的AuthenticationInfo实例。
  • 5、验证失败则抛出AuthenticationException异常信息。

而在我们的应用程序中要做的就是自定义一个Realm类，继承AuthorizingRealm抽象类，重载doGetAuthenticationInfo()，重写获取用户信息的方法。

doGetAuthenticationInfo的重写

  1. @Override
  2. protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token)
  3.         throws AuthenticationException {
  4.     System.out.println("MyShiroRealm.doGetAuthenticationInfo()");
  5.     //获取用户的输入的账号.
  6.     String username = (String)token.getPrincipal();
  7.     System.out.println(token.getCredentials());
  8.     //通过username从数据库中查找 User对象，如果找到，没找到.
  9.     //实际项目中，这里可以根据实际情况做缓存，如果不做，Shiro自己也是有时间间隔机制，2分钟内不会重复执行该方法
  10.     UserInfo userInfo = userInfoService.findByUsername(username);
  11.     System.out.println("----->>userInfo="+userInfo);
  12.     if(userInfo == null){
  13.         return null;
  14.     }
  15.     SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(
  16.             userInfo, //用户名
  17.             userInfo.getPassword(), //密码
  18.             ByteSource.Util.bytes(userInfo.getCredentialsSalt()),//salt=username+salt
  19.             getName()  //realm name
  20.     );
  21.     return authenticationInfo;
  22. }

链接权限的实现

shiro的权限授权是通过继承AuthorizingRealm抽象类，重载doGetAuthorizationInfo();当访问到页面的时候，链接配置了相应的权限或者shiro标签才会执行此方法否则不会执行，所以如果只是简单的身份认证没有权限的控制的话，那么这个方法可以不进行实现，直接返回null即可。在这个方法中主要是使用类：SimpleAuthorizationInfo进行角色的添加和权限的添加。

  1. @Override
  2. protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
  3.     System.out.println("权限配置-->MyShiroRealm.doGetAuthorizationInfo()");
  4.     SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
  5.     UserInfo userInfo  = (UserInfo)principals.getPrimaryPrincipal();
  6.     for(SysRole role:userInfo.getRoleList()){
  7.         authorizationInfo.addRole(role.getRole());
  8.         for(SysPermission p:role.getPermissions()){
  9.             authorizationInfo.addStringPermission(p.getPermission());
  10.         }
  11.     }
  12.     return authorizationInfo;
  13. }

当然也可以添加set集合：roles是从数据库查询的当前用户的角色，stringPermissions是从数据库查询的当前用户对应的权限

  1. authorizationInfo.setRoles(roles);
  2. authorizationInfo.setStringPermissions(stringPermissions);

就是说如果在shiro配置文件中添加了filterChainDefinitionMap.put(“/add”, “perms[权限添加]”);就说明访问/add这个链接必须要有“权限添加”这个权限才可以访问，如果在shiro配置文件中添加了filterChainDefinitionMap.put(“/add”, “roles[100002]，perms[权限添加]”);就说明访问/add这个链接必须要有“权限添加”这个权限和具有“100002”这个角色才可以访问。

登录实现

登录过程其实只是处理异常的相关信息，具体的登录验证交给shiro来处理

  1. @RequestMapping("/login")
  2. public String login(HttpServletRequest request, Map<String, Object> map) throws Exception{
  3.     System.out.println("HomeController.login()");
  4.     // 登录失败从request中获取shiro处理的异常信息。
  5.     // shiroLoginFailure:就是shiro异常类的全类名.
  6.     String exception = (String) request.getAttribute("shiroLoginFailure");
  7.     System.out.println("exception=" + exception);
  8.     String msg = "";
  9.     if (exception != null) {
  10.         if (UnknownAccountException.class.getName().equals(exception)) {
  11.             System.out.println("UnknownAccountException -- > 账号不存在：");
  12.             msg = "UnknownAccountException -- > 账号不存在：";
  13.         } else if (IncorrectCredentialsException.class.getName().equals(exception)) {
  14.             System.out.println("IncorrectCredentialsException -- > 密码不正确：");
  15.             msg = "IncorrectCredentialsException -- > 密码不正确：";
  16.         } else if ("kaptchaValidateFailed".equals(exception)) {
  17.             System.out.println("kaptchaValidateFailed -- > 验证码错误");
  18.             msg = "kaptchaValidateFailed -- > 验证码错误";
  19.         } else {
  20.             msg = "else >> "+exception;
  21.             System.out.println("else -- >" + exception);
  22.         }
  23.     }
  24.     map.put("msg", msg);
  25.     // 此方法不处理登录成功,由shiro进行处理
  26.     return "/login";
  27. }

其它dao层和service的代码就不贴出来了大家直接看代码。

测试

1、编写好后就可以启动程序，访问http://localhost:8080/userInfo/userList页面，由于没有登录就会跳转到http://localhost:8080/login页面。登录之后就会跳转到index页面，登录后，直接在浏览器中输入http://localhost:8080/userInfo/userList访问就会看到用户信息。上面这些操作时候触发MyShiroRealm.doGetAuthenticationInfo()这个方法，也就是登录认证的方法。

2、登录admin账户，访问：http://127.0.0.1:8080/userInfo/userAdd显示用户添加界面，访问http://127.0.0.1:8080/userInfo/userDel显示403没有权限。上面这些操作时候触发MyShiroRealm.doGetAuthorizationInfo()这个方面，也就是权限校验的方法。

3、修改admin不同的权限进行测试

shiro很强大，这仅仅是完成了登录认证和权限管理这两个功能，更多内容以后有时间再做探讨。