`
zzc1684
  • 浏览: 1228690 次
  • 性别: Icon_minigender_1
  • 来自: 广州
文章分类
社区版块
存档分类
最新评论

第十二章 与Spring集成——《跟我学Shiro》

阅读更多
目录贴: 跟我学Shiro目录贴

 

Shiro的组件都是JavaBean/POJO式的组件,所以非常容易使用Spring进行组件管理,可以非常方便的从ini配置迁移到Spring进行管理,且支持JavaSE应用及Web应用的集成。

 

在示例之前,需要导入shiro-spring及spring-context依赖,具体请参考pom.xml。

spring-beans.xml配置文件提供了基础组件如DataSource、DAO、Service组件的配置。

 
JavaSE应用

 

spring-shiro.xml提供了普通JavaSE独立应用的Spring配置:
Java代码  收藏代码

    <!-- 缓存管理器 使用Ehcache实现 -->  
    <bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">  
        <property name="cacheManagerConfigFile" value="classpath:ehcache.xml"/>  
    </bean>  
      
    <!-- 凭证匹配器 -->  
    <bean id="credentialsMatcher" class="  
    com.github.zhangkaitao.shiro.chapter12.credentials.RetryLimitHashedCredentialsMatcher">  
        <constructor-arg ref="cacheManager"/>  
        <property name="hashAlgorithmName" value="md5"/>  
        <property name="hashIterations" value="2"/>  
        <property name="storedCredentialsHexEncoded" value="true"/>  
    </bean>  
      
    <!-- Realm实现 -->  
    <bean id="userRealm" class="com.github.zhangkaitao.shiro.chapter12.realm.UserRealm">  
        <property name="userService" ref="userService"/>  
        <property name="credentialsMatcher" ref="credentialsMatcher"/>  
        <property name="cachingEnabled" value="true"/>  
        <property name="authenticationCachingEnabled" value="true"/>  
        <property name="authenticationCacheName" value="authenticationCache"/>  
        <property name="authorizationCachingEnabled" value="true"/>  
        <property name="authorizationCacheName" value="authorizationCache"/>  
    </bean>  
    <!-- 会话ID生成器 -->  
    <bean id="sessionIdGenerator"   
    class="org.apache.shiro.session.mgt.eis.JavaUuidSessionIdGenerator"/>  
    <!-- 会话DAO -->  
    <bean id="sessionDAO"   
    class="org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO">  
        <property name="activeSessionsCacheName" value="shiro-activeSessionCache"/>  
        <property name="sessionIdGenerator" ref="sessionIdGenerator"/>  
    </bean>  
    <!-- 会话验证调度器 -->  
    <bean id="sessionValidationScheduler"   
    class="org.apache.shiro.session.mgt.quartz.QuartzSessionValidationScheduler">  
        <property name="sessionValidationInterval" value="1800000"/>  
        <property name="sessionManager" ref="sessionManager"/>  
    </bean>  
    <!-- 会话管理器 -->  
    <bean id="sessionManager" class="org.apache.shiro.session.mgt.DefaultSessionManager">  
        <property name="globalSessionTimeout" value="1800000"/>  
        <property name="deleteInvalidSessions" value="true"/>  
        <property name="sessionValidationSchedulerEnabled" value="true"/>  
       <property name="sessionValidationScheduler" ref="sessionValidationScheduler"/>  
        <property name="sessionDAO" ref="sessionDAO"/>  
    </bean>  
    <!-- 安全管理器 -->  
    <bean id="securityManager" class="org.apache.shiro.mgt.DefaultSecurityManager">  
        <property name="realms">  
            <list><ref bean="userRealm"/></list>  
        </property>  
        <property name="sessionManager" ref="sessionManager"/>  
        <property name="cacheManager" ref="cacheManager"/>  
    </bean>  
    <!-- 相当于调用SecurityUtils.setSecurityManager(securityManager) -->  
    <bean class="org.springframework.beans.factory.config.MethodInvokingFactoryBean">  
    <property name="staticMethod"   
    value="org.apache.shiro.SecurityUtils.setSecurityManager"/>  
        <property name="arguments" ref="securityManager"/>  
    </bean>  
    <!-- Shiro生命周期处理器-->  
    <bean id="lifecycleBeanPostProcessor"   
    class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>  

可以看出,只要把之前的ini配置翻译为此处的spring xml配置方式即可,无须多解释。LifecycleBeanPostProcessor用于在实现了Initializable接口的Shiro bean初始化时调用Initializable接口回调,在实现了Destroyable接口的Shiro bean销毁时调用 Destroyable接口回调。如UserRealm就实现了Initializable,而 DefaultSecurityManager实现了Destroyable。具体可以查看它们的继承关系。

  

测试用例请参考com.github.zhangkaitao.shiro.chapter12.ShiroTest。 

 
Web应用

Web应用和普通JavaSE应用的某些配置是类似的,此处只提供一些不一样的配置,详细配置可以参考spring-shiro-web.xml。 
Java代码  收藏代码

    <!-- 会话Cookie模板 -->  
    <bean id="sessionIdCookie" class="org.apache.shiro.web.servlet.SimpleCookie">  
        <constructor-arg value="sid"/>  
        <property name="httpOnly" value="true"/>  
        <property name="maxAge" value="180000"/>  
    </bean>  
    <!-- 会话管理器 -->  
    <bean id="sessionManager"   
    class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">  
        <property name="globalSessionTimeout" value="1800000"/>  
        <property name="deleteInvalidSessions" value="true"/>  
        <property name="sessionValidationSchedulerEnabled" value="true"/>  
        <property name="sessionValidationScheduler" ref="sessionValidationScheduler"/>  
        <property name="sessionDAO" ref="sessionDAO"/>  
        <property name="sessionIdCookieEnabled" value="true"/>  
        <property name="sessionIdCookie" ref="sessionIdCookie"/>  
    </bean>  
    <!-- 安全管理器 -->  
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">  
    <property name="realm" ref="userRealm"/>  
        <property name="sessionManager" ref="sessionManager"/>  
        <property name="cacheManager" ref="cacheManager"/>  
    </bean>   

1、sessionIdCookie是用于生产Session ID Cookie的模板;

2、会话管理器使用用于web环境的DefaultWebSessionManager;

3、安全管理器使用用于web环境的DefaultWebSecurityManager。 

 
Java代码  收藏代码

    <!-- 基于Form表单的身份验证过滤器 -->  
    <bean id="formAuthenticationFilter"   
    class="org.apache.shiro.web.filter.authc.FormAuthenticationFilter">  
        <property name="usernameParam" value="username"/>  
        <property name="passwordParam" value="password"/>  
        <property name="loginUrl" value="/login.jsp"/>  
    </bean>  
    <!-- Shiro的Web过滤器 -->  
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">  
        <property name="securityManager" ref="securityManager"/>  
        <property name="loginUrl" value="/login.jsp"/>  
        <property name="unauthorizedUrl" value="/unauthorized.jsp"/>  
        <property name="filters">  
            <util:map>  
                <entry key="authc" value-ref="formAuthenticationFilter"/>  
            </util:map>  
        </property>  
        <property name="filterChainDefinitions">  
            <value>  
                /index.jsp = anon  
                /unauthorized.jsp = anon  
                /login.jsp = authc  
                /logout = logout  
                /** = user  
            </value>  
        </property>  
    </bean>   

1、formAuthenticationFilter为基于Form表单的身份验证过滤器;此处可以再添加自己的Filter bean定义;

2、shiroFilter:此处使用ShiroFilterFactoryBean来创建 ShiroFilter过滤器;filters属性用于定义自己的过滤器,即ini配置中的[filters]部 分;filterChainDefinitions用于声明url和filter的关系,即ini配置中的[urls]部分。

 

接着需要在web.xml中进行如下配置: 
Java代码  收藏代码

    <context-param>  
        <param-name>contextConfigLocation</param-name>  
        <param-value>  
            classpath:spring-beans.xml,  
            classpath:spring-shiro-web.xml  
        </param-value>  
    </context-param>  
    <listener>  
       <listener-class>  
    org.springframework.web.context.ContextLoaderListener  
    </listener-class>  
    </listener>   

通过ContextLoaderListener加载contextConfigLocation指定的Spring配置文件。

  
Java代码  收藏代码

    <filter>  
        <filter-name>shiroFilter</filter-name>  
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>  
        <init-param>  
            <param-name>targetFilterLifecycle</param-name>  
            <param-value>true</param-value>  
        </init-param>  
    </filter>  
    <filter-mapping>  
        <filter-name>shiroFilter</filter-name>  
        <url-pattern>/*</url-pattern>  
    </filter-mapping>   

DelegatingFilterProxy会自动到Spring容器中查找名字为shiroFilter的bean并把filter请求交给它处理。

 

其他配置请参考源代码。

 
Shiro权限注解

Shiro提供了相应的注解用于权限控制,如果使用这些注解就需要使用AOP的功能来进行判断,如Spring AOP;Shiro提供了Spring AOP集成用于权限注解的解析和验证。

为了测试,此处使用了Spring MVC来测试Shiro注解,当然Shiro注解不仅仅可以在web环境使用,在独立的JavaSE中也是可以用的,此处只是以web为例了。

 

在spring-mvc.xml配置文件添加Shiro Spring AOP权限注解的支持: 
Java代码  收藏代码

    <aop:config proxy-target-class="true"></aop:config>  
    <bean class="  
    org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">  
        <property name="securityManager" ref="securityManager"/>  
    </bean>   

如上配置用于开启Shiro Spring AOP权限注解的支持;<aop:config proxy-target-class="true">表示代理类。

 

接着就可以在相应的控制器(AnnotationController)中使用如下方式进行注解: 
Java代码  收藏代码

    @RequiresRoles("admin")  
    @RequestMapping("/hello2")  
    public String hello2() {  
        return "success";  
    }   

访问hello2方法的前提是当前用户有admin角色。

 

当验证失败,其会抛出UnauthorizedException异常,此时可以使用Spring的ExceptionHandler(DefaultExceptionHandler)来进行拦截处理:
Java代码  收藏代码

    @ExceptionHandler({UnauthorizedException.class})  
    @ResponseStatus(HttpStatus.UNAUTHORIZED)  
    public ModelAndView processUnauthenticatedException(NativeWebRequest request, UnauthorizedException e) {  
        ModelAndView mv = new ModelAndView();  
        mv.addObject("exception", e);  
        mv.setViewName("unauthorized");  
        return mv;  
    }   

如果集成Struts2,需要注意《Shiro+Struts2+Spring3 加上@RequiresPermissions 后@Autowired失效》问题:

http://jinnianshilongnian.iteye.com/blog/1850425

 

权限注解      
Java代码  收藏代码

    @RequiresAuthentication  

表示当前Subject已经通过login进行了身份验证;即Subject. isAuthenticated()返回true。 

 
Java代码  收藏代码

    @RequiresUser  

表示当前Subject已经身份验证或者通过记住我登录的。

 
Java代码  收藏代码

    @RequiresGuest  

表示当前Subject没有身份验证或通过记住我登录过,即是游客身份。  

 
Java代码  收藏代码

    @RequiresRoles(value={“admin”, “user”}, logical= Logical.AND)  

表示当前Subject需要角色admin和user。

 
Java代码  收藏代码

    @RequiresPermissions (value={“user:a”, “user:b”}, logical= Logical.OR)  

表示当前Subject需要权限user:a或user:b。  

 

 

示例源代码:https://github.com/zhangkaitao/shiro-example;可加群 231889722 探讨Spring/Shiro技术。

 
评论
7 楼 Alex丿 2014-07-12   引用
请教一下, shiro与spring集成, 自定义了一个UserRealm, 跟踪代码发现始终没有调里面的doGetAuthorizationInfo和doGetAuthenticationInfo 。登录情况是登录不进去,一直跳到login.jsp界面, 用的是formAuthenticationFilter
6 楼 jinnianshilongnian 2014-03-12   引用
huaxu 写道
supercwg 写道
涛ge,请教个还是困扰很久的问题,就是@RequiresRoles("admin")这样硬编码权限控制基本上没有实战性意义吧,毕竟权限都是经常发生变化,如果能够跟后台数据库的权限数据对应起来那才是真正有实战意义的安全呢,不知道怎么解决好呢?

写AOP拦截自行控制

嗯 完全可以;
5 楼 huaxu 2014-03-12   引用
supercwg 写道
涛ge,请教个还是困扰很久的问题,就是@RequiresRoles("admin")这样硬编码权限控制基本上没有实战性意义吧,毕竟权限都是经常发生变化,如果能够跟后台数据库的权限数据对应起来那才是真正有实战意义的安全呢,不知道怎么解决好呢?

写AOP拦截自行控制
4 楼 jinnianshilongnian 2014-03-12   引用
lyq881209 写道
问下,第二十二章 集成验证码:request.getRequestedSessionId(),有可能为null吗,request是被shiro封装过,获取的session是local,验证码用JCaptcha验证是不是不支持集群。

这个有可能;另外是不支持集群;需要自己扩展;
3 楼 lyq881209 2014-03-12   引用
问下,第二十二章 集成验证码:request.getRequestedSessionId(),有可能为null吗,request是被shiro封装过,获取的session是local,验证码用JCaptcha验证是不是不支持集群。
2 楼 jinnianshilongnian 2014-03-12   引用
supercwg 写道
涛ge,请教个还是困扰很久的问题,就是@RequiresRoles("admin")这样硬编码权限控制基本上没有实战性意义吧,毕竟权限都是经常发生变化,如果能够跟后台数据库的权限数据对应起来那才是真正有实战意义的安全呢,不知道怎么解决好呢?

1、因为这种权限都是细粒度的(权限字符串);所以如果变了;只需要在相应角色中去掉/加上即可;所以变的就是角色;而不是权限字符串;这就是细粒度的好处; (分散式控制)
2、最后有一章介绍类似于Spring Security的动态url权限控制的方式;可以使用这种方式也可以;(集中式控制) 适合给现有产品添加权限
1 楼 supercwg 2014-03-12   引用
涛ge,请教个还是困扰很久的问题,就是@RequiresRoles("admin")这样硬编码权限控制基本上没有实战性意义吧,毕竟权限都是经常发生变化,如果能够跟后台数据库的权限数据对应起来那才是真正有实战意义的安全呢,不知道怎么解决好呢?

 

分享到:
评论

相关推荐

    第十七章 OAuth2集成——《跟我学Shiro》 - 开涛的博客 - ITeye技术网站2

    在《跟我学Shiro》的第十七章中,作者开涛介绍了如何集成OAuth2,使用Apache Oltu作为OAuth2服务端的实现。实现中涉及以下关键部分: 1. **依赖**:引入了`authzserver`(授权服务器依赖)和`resourceserver`(资源...

    跟我学Shiro-java开发+spring开发

    《跟我学Shiro-java开发+spring开发》是一个深入学习Java安全框架Shiro和Spring集成的教程,旨在帮助开发者掌握这两个关键技术在实际项目中的应用。Shiro是一个强大的且易用的Java安全框架,提供了认证、授权、加密...

    spring cloud + shiro集成方案

    手把手教你集成spring cloud + shiro微服务框架;用最少的工作量,改造基于shiro安全框架的微服务项目,实现spring cloud + shiro 框架集成。博客地址:...

    跟我一起学shiro 张开涛

    《跟我一起学Shiro——张开涛》这本书是针对初学者的优秀教程,旨在帮助读者快速理解和掌握Shiro的基本用法和核心概念。 **1. Shiro基础** Shiro的基础概念包括Subject、Realms、Cryptography和Session。Subject是...

    [资料][Java]跟我学Shiro教程_Java跟我学Shiro教程_shiro_

    Apache Shiro 是一个强大且易用的 Java 安全框架,提供了认证、授权、加密和会话管理功能,可以非常方便地开发出足够安全的应用。...阅读 "[资料][Java]跟我学Shiro教程.pdf",你将得到更详细的步骤指导和实践案例。

    跟我学Shiro

    通过《跟我学Shiro》.pdf,你将学习到如何创建 Realm 实现数据源连接、配置 Shiro 安全框架、处理登录和登出逻辑、实现权限控制以及在实际项目中部署和调优 Shiro。 10. **最佳实践** 学习 Shiro 的过程中,了解...

    《跟我学Shiro》- 张开涛.txt

    ***txt文件中含有下载地址** 《跟我学Shiro》- 张开涛,PDF版本,带目录,清晰。 示例源代码:https://github.com/zhangkaitao/shiro-example; 加qun 231889722 探讨Spring/Shiro技术。

    Shiro集成OAuth2

    将Shiro与OAuth2集成,可以实现更灵活的安全控制,特别是在分布式系统或者微服务架构中,能够提供更加安全、便捷的用户认证和授权流程。 在Shiro集成OAuth2的过程中,主要涉及到以下几个关键知识点: 1. **OAuth2...

    跟我学shiro

    - **概念**:将 Shiro 集成到 Spring 应用中。 - **应用场景**: - **Java SE 应用**:在纯 Java 应用中使用 Shiro。 - **Web 应用**:在 Web 应用中使用 Shiro。 - **Shiro 权限注解**:使用 Spring 的注解来...

    跟我学Shiro教程.rar

    Apache Shiro是一个强大的Java安全框架,它为应用程序提供了身份验证(Authentication)、授权...通过阅读"跟我学Shiro教程.pdf",你应该能够了解如何将Shiro集成到你的项目中,以及如何利用它来实现安全控制。

    跟我学Shiro教程及其课程分章节源码

    Apache Shiro是一个强大易用的Java安全框架,...我找了一版 跟我学Shiro教程PDF,里面讲的很详细.里面还附带了每个章节的源码.值得你收藏哟!饮水思源——原文出自:http://jinnianshilongnian.iteye.com/blog/2049092

    跟我学Shiro教程 pdf

    《跟我学Shiro》PDF完结版下载, Apache Shiro是Java的一个安全框架。目前,使用Apache Shiro的人越来越多,因为它相当简单,对比Spring Security,可能没有Spring Security做的功能强大,但是在实际工作时可能并不...

    shiro教程 跟我学Shiro教程

    "跟我学Shiro教程"资源包包含了全面学习Shiro所需的重要材料,包括文档和实践示例。 首先,我们来看《Apache_Shiro参考手册中文版.pdf》。这本书籍详细介绍了Shiro框架的各个组件和使用方法。通过阅读,你可以了解...

    跟我学shiro源代码

    "跟我学Shiro源代码"是一份针对Shiro框架的详细教程,通过这本书,读者能够深入理解Shiro的核心概念和用法,并通过实际的代码示例来提升自己的技能。 1. **身份验证(Authentication)**:Shiro提供了一套完善的...

    跟我学Shiro第12章Demo(仅JAVA SE)

    在本"跟我学Shiro第12章Demo(仅JAVA SE)"中,我们将专注于如何将Shiro的ini配置文件转换为Spring的XML配置文件格式,这有助于在Java Standard Edition(SE)环境中更好地集成和管理Shiro的安全设置。 Shiro的ini...

    Spring Shiro 学习系统 Spring-Shiro-training

    1. **Spring与Shiro的集成**:讲解如何在Spring应用中引入Shiro,包括配置Shiro的依赖、设置Shiro的过滤器链以及Spring与Shiro的Bean配置。 2. **身份认证**:介绍Shiro的Subject、Realms和CredentialsMatcher等...

    spring boot 集成 shiro

    **Spring Boot 集成 Shiro 深度解析** Spring Boot 是一款基于 Spring 的轻量级框架,它简化了 Spring 应用的初始搭建以及开发过程。而 Apache Shiro 是一个强大且易用的 Java 安全框架,提供了认证、授权、加密和...

    跟我学Shiro第12章Demo(仅JAVA SE+Web+Shiro权限注解)

    《跟我学Shiro第12章Demo:Java SE、Web与Shiro权限注解实践》 Apache Shiro是一款强大的安全框架,广泛应用于Java项目中,提供了身份验证、授权、会话管理和加密等功能。本Demo主要涵盖了Shiro在Java Standard ...

Global site tag (gtag.js) - Google Analytics