shiro学习总结

shiro学习参考文档：

https://www.cnblogs.com/moonlightL/p/8126910.html

 

 

 

shiro框架：

1、Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:configDefault/shiro.properties");

先通过一个连接数据源(如shiro.properties代表一个文本的数据源)，创建一个SecurityManager的Factory。

2、SecurityManager securityManager = factory.getInstance();

获得SecurityManager，这个是shiro的核心组件，

SecurityManager是安全管理器。即所有与安全有关的操作都会与 SecurityManager 交互，且它管理着所有 Subject。可以看出它是 Shiro 的核心，它负责与后边介绍的其他组件进行交互，

如果学习过 SpringMVC，我们可以把它看成 DispatcherServlet 前端控制器。

3、SecurityUtils.setSecurityManager(securityManager);

将securityManager设置到SecurityUtils里。

4、Subject currentUser = SecurityUtils.getSubject();

通过SecurityUtils拿到Subject，Subject就相当于是要登录的用户，

主体，代表了当前“用户”。这个用户不一定是一个具体的人，与当前应用交互的任何东西都是 Subject，如网络爬虫，机器人等。所有 Subject 都绑定到 SecurityManager，与 Subject 的所有交互都会委托给 SecurityManager。

我们可以把 Subject 认为是一个门面，SecurityManager 才是实际的执行者。

5、UsernamePasswordToken token = new UsernamePasswordToken("zhangsan", "zhangsan");

登录，通过用户名和密码生成一个Token

6、token.setRememberMe(true);

RemeberMe设为true，表明记住登录状态，下次就不要再登录了。

7、

try {

currentUser.login(token);

} catch (UnknownAccountException uae) {

System.out.println("用户名不存在:" + token.getPrincipal());

} catch (IncorrectCredentialsException ice) {

System.out.println("账户密码 " + token.getPrincipal()  + " 不正确!");

} catch (LockedAccountException lae) {

System.out.println("用户名 " + token.getPrincipal() + " 被锁定 !");

}

subject.login(token)，就可以验证用"zhangsan", "zhangsan"为用户名和密码的token是否存在并且正确。因为currentUser是通过securityManager获得的，

而securityManager是连上了shiro数据源(classpath:configDefault/shiro.properties)的。所以可以判断"zhangsan"是否在数据源中并且密码是否正确。

8、

// 认证成功后

if (currentUser.isAuthenticated()) {

    System.out.println("用户 " + currentUser.getPrincipal() + " 登陆成功！");

    //测试角色

    System.out.println("是否拥有 manager 角色：" + currentUser.hasRole("manager"));

    //测试权限

    System.out.println("是否拥有 user:create 权限" + currentUser.isPermitted("user:create"));

    //退出

    currentUser.logout();

}

currentUser.getPrincipal()，currentUser.hasRole("manager")，currentUser.isPermitted("user:create")这些都是subject的方法，根据数据源里的内容来判断user是否有相关的角色和权限。

 

shiro和spring整合使用。

一、先要添加maven包依赖

<dependency>

    <groupId>org.apache.shiro</groupId>

    <artifactId>shiro-core</artifactId>

    <version>${shiro-version}</version>

</dependency>

<dependency>

    <groupId>org.apache.shiro</groupId>

    <artifactId>shiro-web</artifactId>

    <version>${shiro-version}</version>

</dependency>

<dependency>

    <groupId>org.apache.shiro</groupId>

    <artifactId>shiro-ehcache</artifactId>

    <version>${shiro-version}</version>

</dependency>

<dependency>

    <groupId>org.apache.shiro</groupId>

    <artifactId>shiro-spring</artifactId>

    <version>${shiro-version}</version>

</dependency>

二、要web.xml里配置shiroFilter

<filter>

<filter-name>shiroFilter</filter-name>

<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>

<init-param>

<!-- 该值缺省为false,表示生命周期由SpringApplicationContext管理,设置为true则表示由ServletContainer管理 -->

<param-name>targetFilterLifecycle</param-name>

<param-value>true</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>shiroFilter</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

这里配置一个shiro的过滤器，所有的请求都要在shiroFilter过滤。

三、就是配置spring-shiro.xml了。

<!-- Shiro的Web过滤器 -->

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">

<!-- 必须设置是shiro的核心部分 -->

<property name="securityManager" ref="securityManager"/>

<!-- 这三个是可选配置 -->

<property name="loginUrl" value="/login"/>

<property name="successUrl" value="/main"/>

<property name="unauthorizedUrl" value="/unauthorized"/>

<!-- 这个表示相应的权限对应的url需要经过的过滤器 -->

<property name="filters">

    <util:map>

<!-- 定义auth需要通过captchaFormFilter这个过滤器认证 -->

<entry key="auth" value-ref="captchaFormFilter" />

    </util:map>

</property>

<!-- 需要过滤的权限定义 -->

<property name="filterChainDefinitions">

    <value>

<!-- anon表示url不需要进行认证 -->

/monitor/**=anon

/favicon.ico=anon

/ui/**=anon

/js/**=anon

/css/**=anon

/images/**=anon

<!-- auth表示url需要通过认证才能访问 -->

/**=auth

/logout=logout

    </value>

</property>

</bean>

注：这里定义的id=shiroFilter名字必须和web.xml里定义的filter的id名字一样。

 

<!-- 定义过滤器，相关权限对应的url必须通过此过滤器 -->

<bean id="captchaFormFilter" class="cn.lmw.job.console.shiro.CustomerFormAuthenFilter">

        <property name="validateCaptcha" value="false" />

        <property name="successUrl" value="/main" />

</bean>

 

<!-- 安全管理器，这是shiro的核心控件 -->

<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">

        <property name="realm" ref="userRealm"/>

        <property name="sessionManager" ref="sessionManager"/>

        <property name="cacheManager" ref="cacheManager"/>

</bean>

 

<!-- 缓存管理器 -->

<bean id="cacheManager" class="cn.lmw.freamwork.support.shiro.cache.SpringCacheManagerWrapper">

        <property name="cacheManager" ref="springCacheManager"/>

</bean>

  

<!-- 凭证匹配器 -->

<bean id="credentialsMatcher" class="cn.lmw.freamwork.support.shiro.credentials.RetryLimitHashedCredentialsMatcher">

        <constructor-arg ref="cacheManager"/>

        <property name="hashAlgorithmName" value="md5"/>

        <property name="hashIterations" value="2"/>

        <property name="storedCredentialsHexEncoded" value="true"/>

</bean>

<!-- Realm实现 -->

<bean id="userRealm" class="cn.lmw.job.console.shiro.realm.UserRealm">

        <property name="credentialsMatcher" ref="credentialsMatcher"/>

        <property name="cachingEnabled" value="false"/>

</bean>