1.引入Shiro的Maven依赖
- <!-- Spring 整合Shiro需要的依赖 -->
- <dependency>
- <groupId>org.apache.shiro</groupId>
- <artifactId>shiro-core</artifactId>
- <version>1.2.1</version>
- </dependency>
- <dependency>
- <groupId>org.apache.shiro</groupId>
- <artifactId>shiro-web</artifactId>
- <version>1.2.1</version>
- </dependency>
- <dependency>
- <groupId>org.apache.shiro</groupId>
- <artifactId>shiro-ehcache</artifactId>
- <version>1.2.1</version>
- </dependency>
- <dependency>
- <groupId>org.apache.shiro</groupId>
- <artifactId>shiro-spring</artifactId>
- <version>1.2.1</version>
- </dependency>
- <!-- 除此之外还有一些东西也不可少spring, spring-mvc, ibatis等 spring.3.1.2 spring-mvc.3.1.2
- ibatis.2.3.4 cglib.2.2 -->
2.web.xml中配置
- <!-- 配置shiro的核心拦截器 -->
- <filter>
- <filter-name>shiroFilter</filter-name>
- <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
- </filter>
- <filter-mapping>
- <filter-name>shiroFilter</filter-name>
- <url-pattern>/*</url-pattern>
- </filter-mapping>
3. 编写自己的UserRealm类继承自Realm,主要实现认证和授权的管理操作
- package com.jay.demo.shiro;
- import java.util.HashSet;
- import java.util.Iterator;
- import java.util.Set;
- import org.apache.shiro.authc.AuthenticationException;
- import org.apache.shiro.authc.AuthenticationInfo;
- import org.apache.shiro.authc.AuthenticationToken;
- import org.apache.shiro.authc.LockedAccountException;
- import org.apache.shiro.authc.SimpleAuthenticationInfo;
- import org.apache.shiro.authc.UnknownAccountException;
- import org.apache.shiro.authz.AuthorizationInfo;
- import org.apache.shiro.authz.SimpleAuthorizationInfo;
- import org.apache.shiro.realm.AuthorizingRealm;
- import org.apache.shiro.subject.PrincipalCollection;
- import org.springframework.beans.factory.annotation.Autowired;
- import com.jay.demo.bean.Permission;
- import com.jay.demo.bean.Role;
- import com.jay.demo.bean.User;
- import com.jay.demo.service.UserService;
- public class UserRealm extends AuthorizingRealm{
- @Autowired
- private UserService userService;
- /**
- * 授权操作
- */
- @Override
- protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
- // String username = (String) getAvailablePrincipal(principals);
- String username = (String) principals.getPrimaryPrincipal();
- Set<Role> roleSet = userService.findUserByUsername(username).getRoleSet();
- //角色名的集合
- Set<String> roles = new HashSet<String>();
- //权限名的集合
- Set<String> permissions = new HashSet<String>();
- Iterator<Role> it = roleSet.iterator();
- while(it.hasNext()){
- roles.add(it.next().getName());
- for(Permission per:it.next().getPermissionSet()){
- permissions.add(per.getName());
- }
- }
- SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
- authorizationInfo.addRoles(roles);
- authorizationInfo.addStringPermissions(permissions);
- return authorizationInfo;
- }
- /**
- * 身份验证操作
- */
- @Override
- protected AuthenticationInfo doGetAuthenticationInfo(
- AuthenticationToken token) throws AuthenticationException {
- String username = (String) token.getPrincipal();
- User user = userService.findUserByUsername(username);
- if(user==null){
- //木有找到用户
- throw new UnknownAccountException("没有找到该账号");
- }
- /* if(Boolean.TRUE.equals(user.getLocked())) {
- throw new LockedAccountException(); //帐号锁定
- } */
- /**
- * 交给AuthenticatingRealm使用CredentialsMatcher进行密码匹配,如果觉得人家的不好可以在此判断或自定义实现
- */
- SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(),getName());
- return info;
- }
- @Override
- public String getName() {
- return getClass().getName();
- }
- }
4.在Spring的applicationContext.xml中进行Shiro的相关配置
1、添加shiroFilter定义
- <!-- Shiro Filter -->
- <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
- <property name="securityManager" ref="securityManager" />
- <property name="loginUrl" value="/login" />
- <property name="successUrl" value="/user/list" />
- <property name="unauthorizedUrl" value="/login" />
- <property name="filterChainDefinitions">
- <value>
- /login = anon
- /user/** = authc
- /role/edit/* = perms[role:edit]
- /role/save = perms[role:edit]
- /role/list = perms[role:view]
- /** = authc
- </value>
- </property>
- </bean>
2、添加securityManager定义
- <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
- <property name="realm" ref="myRealm" />
- </bean>
3、添加realm定义
<bean id=" myRealm" class="com.jay.demo.shiro.UserRealm />
4、配置EhCache
<bean id="cacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager" />
5、保证实现了Shiro内部lifecycle函数的bean执行
<bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>
特别注意:
如果使用Shiro相关的注解,需要在springmvc-servlet.xml中配置一下信息
<bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator" depends-on="lifecycleBeanPostProcessor"/> <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor"> <property name="securityManager" ref="securityManager"/> </bean>
备注:Shiro权限管理的过滤器解释:
- 默认过滤器(10个)
- anon -- org.apache.shiro.web.filter.authc.AnonymousFilter
- authc -- org.apache.shiro.web.filter.authc.FormAuthenticationFilter
- authcBasic -- org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
- perms -- org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
- port -- org.apache.shiro.web.filter.authz.PortFilter
- rest -- org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
- roles -- org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
- ssl -- org.apache.shiro.web.filter.authz.SslFilter
- user -- org.apache.shiro.web.filter.authc.UserFilter
- logout -- org.apache.shiro.web.filter.authc.LogoutFilter
- anon:例子/admins/**=anon 没有参数,表示可以匿名使用。
- authc:例如/admins/user/**=authc表示需要认证(登录)才能使用,没有参数
- roles:例子/admins/user/**=roles[admin],参数可以写多个,多个时必须加上引号,并且参数之间用逗号分割,当有多个参数时,例如admins/user/**=roles["admin,guest"],每个参数通过才算通过,相当于hasAllRoles()方法。
- perms:例子/admins/user/**=perms[user:add:*],参数可以写多个,多个时必须加上引号,并且参数之间用逗号分割,例如/admins/user/**=perms["user:add:*,user:modify:*"],当有多个参数时必须每个参数都通过才通过,想当于isPermitedAll()方法。
- rest:例子/admins/user/**=rest[user],根据请求的方法,相当于/admins/user/**=perms[user:method] ,其中method为post,get,delete等。
- port:例子/admins/user/**=port[8081],当请求的url的端口不是8081是跳转到schemal://serverName:8081?queryString,其中schmal是协议http或https等,serverName是你访问的host,8081是url配置里port的端口,queryString是你访问的url里的?后面的参数。
- authcBasic:例如/admins/user/**=authcBasic没有参数表示httpBasic认证
- ssl:例子/admins/user/**=ssl没有参数,表示安全的url请求,协议为https
- user:例如/admins/user/**=user没有参数表示必须存在用户,当登入操作时不做检查
关于Shiro的标签应用:
- <shiro:authenticated> 登录之后
- <shiro:notAuthenticated> 不在登录状态时
- <shiro:guest> 用户在没有RememberMe时
- <shiro:user> 用户在RememberMe时
- <shiro:hasAnyRoles name="abc,123" > 在有abc或者123角色时
- <shiro:hasRole name="abc"> 拥有角色abc
- <shiro:lacksRole name="abc"> 没有角色abc
- <shiro:hasPermission name="abc"> 拥有权限abc
- <shiro:lacksPermission name="abc"> 没有权限abc
- <shiro:principal> 显示用户登录名
以上是Shiro的相关配置,出于安全的考虑,一般都会使用ACL(基于角色的用户权限管理去控制用户登录后的权限)
ACL详细代码案例如下:
涉及到的表:3+2(User,Role,Permission + user-role,role-permission)
3张实体表+2张关系表
1.关于User类:
- package com.jay.demo.bean;
- import java.util.HashSet;
- import java.util.Set;
- public class User {
- private String id;
- private String username;
- private String password;
- private Set<Role> roleSet = new HashSet<Role>();
- public User() {
- }
- public String getId() {
- return id;
- }
- public void setId(String id) {
- this.id = id;
- }
- public String getUsername() {
- return username;
- }
- public void setUsername(String username) {
- this.username = username;
- }
- public String getPassword() {
- return password;
- }
- public void setPassword(String password) {
- this.password = password;
- }
- public Set<Role> getRoleSet() {
- return roleSet;
- }
- public void setRoleSet(Set<Role> roleSet) {
- this.roleSet = roleSet;
- }
- }
2.关于Role表
- package com.jay.demo.bean;
- import java.io.Serializable;
- import java.util.HashSet;
- import java.util.Set;
- public class Role implements Serializable {
- private static final long serialVersionUID = -4987248128309954399L;
- private Integer id;
- private String name;
- private Set<Permission> permissionSet = new HashSet<Permission>();
- public Role() {
- super();
- }
- // --------------------------------------------------------------------------------
- @Override
- public int hashCode() {
- final int prime = 31;
- int result = 1;
- result = prime * result + ((id == null) ? 0 : id.hashCode());
- return result;
- }
- @Override
- public boolean equals(Object obj) {
- if (this == obj)
- return true;
- if (obj == null)
- return false;
- if (getClass() != obj.getClass())
- return false;
- Role other = (Role) obj;
- if (id == null) {
- if (other.id != null)
- return false;
- } else if (!id.equals(other.id))
- return false;
- return true;
- }
- // --------------------------------------------------------------------------------
- public Integer getId() {
- return id;
- }
- public void setId(Integer id) {
- this.id = id;
- }
- public String getName() {
- return name;
- }
- public void setName(String name) {
- this.name = name;
- }
- public Set<Permission> getPermissionSet() {
- return permissionSet;
- }
- public void setPermissionSet(Set<Permission> permissionSet) {
- this.permissionSet = permissionSet;
- }
- }
3.关于permission表
- <pre name="code" class="java">package com.jay.demo.bean;
- import java.io.Serializable;
- public class Permission implements Serializable {
- private static final long serialVersionUID = -8025597823572680802L;
- private Integer id;
- private String name;
- public Permission() {
- super();
- }
- // --------------------------------------------------------------------------------------
- @Override
- public int hashCode() {
- final int prime = 31;
- int result = 1;
- result = prime * result + ((id == null) ? 0 : id.hashCode());
- return result;
- }
- @Override
- public boolean equals(Object obj) {
- if (this == obj)
- return true;
- if (obj == null)
- return false;
- if (getClass() != obj.getClass())
- return false;
- Permission other = (Permission) obj;
- if (id == null) {
- if (other.id != null)
- return false;
- } else if (!id.equals(other.id))
- return false;
- return true;
- }
- // --------------------------------------------------------------------------------------
- public Integer getId() {
- return id;
- }
- public void setId(Integer id) {
- this.id = id;
- }
- public String getName() {
- return name;
- }
- public void setName(String name) {
- this.name = name;
- }
- }
4.dao层接口
- package com.jay.demo.dao;
- import com.jay.demo.bean.User;
- public interface UserDao {
- User findUserByUsername(String username);
- }
4.使用Mybatis完成的Dao层实现
- <?xml version="1.0" encoding="UTF-8" ?>
- <!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd" >
- <mapper namespace="com.jay.demo.dao.UserDao">
- <resultMap id="userMap" type="com.jay.demo.bean.User">
- <id property="id" column="USER_ID"/>
- <result property="username" column="USER_USERNAME"/>
- <result property="password" column="USER_PASSWORD"/>
- <!-- 进行 多表关联插叙,先关联user和role -->
- <collection property="roleSet" column="roleid" ofType="com.jay.demo.bean.Role">
- <id property="id" column="ROLE_ID"/>
- <result property="name" column="ROLE_NAME"/>
- <!-- 再在role中关联role和permission -->
- <collection property="permissionSet" column="permissionid" ofType="com.jay.demo.bean.Permission">
- <id property="id" column="permission_id"/>
- <result property="name" column="permission_name"/>
- </collection>
- </collection>
- </resultMap>
- <!-- 通过User来查找Role -->
- <!-- <select id="selectRoleByUser" parameterType="int" resultMap="RoleMap">
- select * from tbl_role_user user_id = #{id}
- </select>
- <resultMap id="roleMap" type="com.jay.demo.bean.User">
- <result property="id" column="ROLE_ID" />
- <result property="name" column="ROLE_NAME" />
- </resultMap>
- <resultMap id="permissionMap" type="com.jay.demo.bean.Permission">
- <result property="id" column="PERMISSION_ID" />
- <result property="name" column="PERMISSION_NAME" />
- </resultMap> -->
- <sql id="select-base-01">
- SELECT
- u.USER_ID,
- u.USER_USERNAME,
- u.USER_PASSWORD,
- r.ROLE_ID,
- r.ROLE_NAME,
- p.PERMISSION_ID,
- p.PERMISSION_NAME
- FROM
- tbl_user as u,
- tbl_role as r,
- tbl_permission as p,
- tbl_permission_role as pr,
- tbl_role_user as ru
- WHERE
- u.USER_ID = ru.USER_ID
- AND
- r.ROLE_ID = ru.ROLE_ID
- AND
- p.PERMISSION_ID = pr.PERMISSION_ID
- AND
- r.ROLE_ID = pr.ROLE_ID
- </sql>
- <select id="findUserByUsername" parameterType="string" resultMap="userMap">
- <include refid="select-base-01" />
- AND
- u.USER_USERNAME = #{username}
- <!-- select * from tbl_user u, tbl_role r, tbl_role_user tu
- where u.user_id = tu.user_id and r.role_id = tu.role_id
- and user_username=#{username} -->
- </select>
- </mapper>
说明:详细代码和demo见附件
相关推荐
可以参考其架构设计,理解如何在实际项目中整合Spring和Shiro,以及如何实现具体的功能模块,如用户注册、登录、权限分配等。 5. **计算机案例**:对于教学或自我提升,这个案例提供了实践操作的机会。你可以模拟...
通过这个"web项目集成shirodemo",开发者可以学习到如何配置Shiro,如何编写 Realm 来连接数据库验证用户,如何设置过滤器链来保护URL,以及如何进行权限控制等核心技能。这个案例对于理解和实践Shiro在实际项目中的...
通过上述介绍,我们可以看出这个项目是一个全面的权限管理系统,涵盖了从用户管理到权限控制的各个环节,同时也具备了监控和文档化功能,对于企业级应用、个人项目或学习权限系统构建来说,都是一个很好的实践案例。
Spring提供了多种方式来集成Shiro,包括使用Spring的XML配置文件或者Java配置类。例如,在Spring的配置文件中,可以通过如下方式配置Shiro: ```xml <bean id="securityManager" class="org.apache.shiro.web.mgt....
在现代的Web应用开发中,权限管理是一个不可或缺的模块,它确保了系统的安全性和用户访问控制的有效性。本文将深入探讨一个基于SpringBoot的权限管理系统,该系统易读易懂,界面设计简洁美观,核心技术栈包括Spring...
7. **实战应用**:"Shiro 终极版"可能包含了实际项目中的应用案例,例如如何在 RESTful API 中实现权限控制,或者在多模块微服务架构下如何协调 Shiro 的会话管理。 8. **测试与调试**:学习资料可能也涉及如何编写...
这个案例提供了一个基本的Shiro登录实践,可以帮助开发者了解如何在Spring、SpringMVC和MyBatis环境中集成Shiro实现用户认证和授权。通过学习和分析这个案例,你可以更好地理解和运用这些技术,为自己的项目构建安全...
本项目——“基于SpringBoot+Vue+Shiro的后台权限管理系统”是一个典型的IT毕业设计案例,旨在提供一个完整的、功能完善的后台管理平台,以供学习和实践。下面,我们将深入探讨这个系统的架构、核心技术和实施要点。...
SSM通用权限系统是Java开发中的一个经典案例,它整合了Spring、Spring MVC和MyBatis三大主流框架,用于构建高效、稳定且易于维护的企业级应用。本系统以权限管理为核心,提供用户、角色、菜单及操作权限的全方位管理...
此模块可能涉及复杂的业务规则,Spring AOP可用于实现事务管理和权限控制。 3. 服务管理:记录和跟踪客户的服务请求,如问题报告、售后服务等。可能需要用到Spring的事件驱动机制来协调不同服务之间的通信。 4. ...
Spring Boot与Spring Security的集成使得开发安全应用变得更加便捷。同时,考虑到版本号v5.3.0,我们可以推测这个系统已经经过了多次迭代和优化,稳定性应该相对较高。 "说明.htm"文件很可能是系统介绍或使用指南,...
- 权限控制与身份验证模块可能基于Spring Security或者Apache Shiro等框架实现,这些框架提供了一套完整的解决方案,包括用户认证、权限分配、会话管理等功能,大大简化了开发过程。 4. 设计原则: - 安全性:...
在博客系统中,Shiro可以用来处理用户的登录验证、权限控制以及会话管理,确保用户访问的安全性。 4. **Redis**:Redis是一个高性能的键值对数据库,常被用作缓存服务。在博客系统中,Redis可以用来缓存用户会话、...
本文将深入探讨一个基于Spring Boot框架整合MyBatis和Shiro框架的超市后台管理系统,该系统旨在实现用户管理、员工管理、供应商管理以及账单管理等多种功能,是学生课设中的原创作品,旨在分享与学习。 首先,让...
本研究通过对现有技术的集成和创新,为发票管理领域提供了新的视角和实践案例。 1.4 论文结构 本文共分为五章,详细介绍了系统的设计理念、关键技术、实现过程及效果评估。 ### 第二章 SpringBoot框架概述 2.1 ...
在这个点餐系统中,Shiro可能用于用户登录验证、权限控制,确保只有授权的用户才能访问特定的资源和服务。 3. **Layui** Layui是一个采用自身模块规范编写的前端UI框架,它轻量、开箱即用、兼容IE8+,并且拥有丰富...
1. 用户管理:涉及用户注册、登录、权限分配等,可能使用Spring Security或Apache Shiro进行权限控制。 2. 合同创建:包括合同模板、合同内容填写、附件上传等,使用MyBatis处理数据库交互。 3. 审批流程:实现合同...
4. 案例分析:在“基于SSM框架的图书借阅系统”中,可能包含以下主要模块: - 用户管理:用户注册、登录、个人信息管理,这部分会涉及到Spring Security或Shiro进行权限控制。 - 图书管理:图书信息录入、分类、...