Shiro權限管理框架詳解

本文轉載自查看原文 2018-01-25 16:50 113964 Shiro/ 開發經驗/ 工作總結

1 權限管理1.1 什么是權限管理

基本上涉及到用戶參與的系統都要進行權限管理，權限管理屬於系統安全的范疇，權限管理實現對用戶訪問系統的控制，按照安全規則或者安全策略控制用戶可以訪問而且只能訪問自己被授權的資源。

權限管理包括用戶身份認證和授權兩部分，簡稱認證授權。對於需要訪問控制的資源用戶首先經過身份認證，認證通過后用戶具有該資源的訪問權限方可訪問。

1.2 用戶身份認證1.2.1 概念

身份認證，就是判斷一個用戶是否為合法用戶的處理過程。最常用的簡單身份認證方式是系統通過核對用戶輸入的用戶名和口令，看其是否與系統中存儲的該用戶的用戶名和口令一致，來判斷用戶身份是否正確。對於采用指紋等系統，則出示指紋；對於硬件Key等刷卡系統，則需要刷卡。

1.2.2 用戶名密碼身份認證流程

1.2.3 關鍵對象

上邊的流程圖中需要理解以下關鍵對象：

Subject：主體

訪問系統的用戶，主體可以是用戶、程序等，進行認證的都稱為主體；

Principal：身份信息

是主體（subject）進行身份認證的標識，標識必須具有唯一性，如用戶名、手機號、郵箱地址等，一個主體可以有多個身份，但是必須有一個主身份（Primary Principal）。

credential：憑證信息

是只有主體自己知道的安全信息，如密碼、證書等。

1.3 授權1.3.1 概念

授權，即訪問控制，控制誰能訪問哪些資源。主體進行身份認證后需要分配權限方可訪問系統的資源，對於某些資源沒有權限是無法訪問的。

1.3.2 授權流程

下圖中橙色為授權流程。

1.3.3 關鍵對象

授權可簡單理解為who對what(which)進行How操作：

Who，即主體（Subject），主體需要訪問系統中的資源。

What，即資源（Resource），如系統菜單、頁面、按鈕、類方法、系統商品信息等。資源包括資源類型和資源實例，比如商品信息為資源類型，類型為t01的商品為資源實例，編號為001的商品信息也屬於資源實例。

How，權限/許可（Permission），規定了主體對資源的操作許可，權限離開資源沒有意義，如用戶查詢權限、用戶添加權限、某個類方法的調用權限、編號為001用戶的修改權限等，通過權限可知主體對哪些資源都有哪些操作許可。

權限分為粗顆粒和細顆粒，粗顆粒權限是指對資源類型的權限，細顆粒權限是對資源實例的權限。

主體、資源、權限關系如下圖：

1.3.4 權限模型

對上節中的主體、資源、權限通過數據模型表示。

主體（賬號、密碼）

資源（資源名稱、訪問地址）

權限（權限名稱、資源id）

角色（角色名稱）

角色和權限關系（角色id、權限id）

主體和角色關系（主體id、角色id）

如下圖：

通常企業開發中將資源和權限表合並為一張權限表，如下：

資源（資源名稱、訪問地址）

權限（權限名稱、資源id）

合並為：

權限（權限名稱、資源名稱、資源訪問地址）

上圖常被稱為權限管理的通用模型，不過企業在開發中根據系統自身的特點還會對上圖進行修改，但是用戶、角色、權限、用戶角色關系、角色權限關系是需要去理解的。

1.3.5 權限分配

對主體分配權限，主體只允許在權限范圍內對資源進行操作，比如：對u01用戶分配商品修改權限，u01用戶只能對商品進行修改。

權限分配的數據通常需要持久化，根據上邊的數據模型創建表並將用戶的權限信息存儲在數據庫中。

1.3.6 權限控制

用戶擁有了權限即可操作權限范圍內的資源，系統不知道主體是否具有訪問權限需要對用戶的訪問進行控制。

1.3.6.1 基於角色的訪問控制

RBAC基於角色的訪問控制（Role-Based Access Control）是以角色為中心進行訪問控制，比如：主體的角色為總經理可以查詢企業運營報表，查詢員工工資信息等，訪問控制流程如下：

上圖中的判斷邏輯代碼可以理解為：

if(主體.hasRole("總經理角色id")){

查詢工資

}

缺點：以角色進行訪問控制粒度較粗，如果上圖中查詢工資所需要的角色變化為總經理和部門經理，此時就需要修改判斷邏輯為“判斷主體的角色是否是總經理或部門經理”，系統可擴展性差。

修改代碼如下：

if(主體.hasRole("總經理角色id") || 主體.hasRole("部門經理角色id")){

查詢工資

}

1.3.6.2 基於資源的訪問控制

RBAC基於資源的訪問控制（Resource-Based Access Control）是以資源為中心進行訪問控制，比如：主體必須具有查詢工資權限才可以查詢員工工資信息等，訪問控制流程如下：

上圖中的判斷邏輯代碼可以理解為：

if(主體.hasPermission("查詢工資權限標識")){

查詢工資

}

優點：系統設計時定義好查詢工資的權限標識，即使查詢工資所需要的角色變化為總經理和部門經理也只需要將“查詢工資信息權限”添加到“部門經理角色”的權限列表中，判斷邏輯不用修改，系統可擴展性強。

1 權限管理解決方案1.1 粗顆粒度和細顆粒度1.1.1 什么是粗顆粒度和細顆粒度

對資源類型的管理稱為粗顆粒度權限管理，即只控制到菜單、按鈕、方法，粗粒度的例子比如：用戶具有用戶管理的權限，具有導出訂單明細的權限。對資源實例的控制稱為細顆粒度權限管理，即控制到數據級別的權限，比如：用戶只允許修改本部門的員工信息，用戶只允許導出自己創建的訂單明細。

1.1.2 如何實現粗顆粒度和細顆粒度

對於粗顆粒度的權限管理可以很容易做系統架構級別的功能，即系統功能操作使用統一的粗顆粒度的權限管理。

對於細顆粒度的權限管理不建議做成系統架構級別的功能，因為對數據級別的控制是系統的業務需求，隨着業務需求的變更業務功能變化的可能性很大，建議對數據級別的權限控制在業務層個性化開發，比如：用戶只允許修改自己創建的商品信息可以在service接口添加校驗實現，service接口需要傳入當前操作人的標識，與商品信息創建人標識對比，不一致則不允許修改商品信息。

1.2 基於url攔截

基於url攔截是企業中常用的權限管理方法，實現思路是：將系統操作的每個url配置在權限表中，將權限對應到角色，將角色分配給用戶，用戶訪問系統功能通過Filter進行過慮，過慮器獲取到用戶訪問的url，只要訪問的url是用戶分配角色中的url則放行繼續訪問。

如下圖：

1.3 使用權限管理框架

對於權限管理基本上每個系統都有，使用權限管理框架完成權限管理功能的開發可以節省系統開發時間，並且權限管理框架提供了完善的認證和授權功能有利於系統擴展維護，但是學習權限管理框架是需要成本的，所以選擇一款簡單高效的權限管理框架顯得非常重要。

1 基於url攔截實現1.1 環境准備

jdk：1.7.0_72

web容器：tomcat7

系統框架：springmvc3.2.0+mybatis3.2.7

（詳細參考springmvc教案）

前台UI：jquery easyUI1.2.2

1.2 數據庫

創建mysql5.1數據庫

創建用戶表、角色表、權限表、角色權限關系表、用戶角色關系表。

導入腳本，先導入shiro_sql_talbe.sql再導入shiro-sql_table_data.sql

1.3 activeUser用戶身份類

用戶登陸成功記錄activeUser信息並將activeUser存入session。

1.4 anonymousURL.properties

anonymousURL.properties公開訪問地址，無需身份認證即可訪問。

1.5 commonURL.properties

commonURL.properties公共訪問地址，身份認證通過無需分配權限即可訪問。

1.6 用戶身份認證攔截器

使用springmvc攔截器對用戶身份認證進行攔截，如果用戶沒有登陸則跳轉到登陸頁面，本功能也可以使用filter實現。

1.7 用戶授權攔截器

使用springmvc攔截器對用戶訪問url進行攔截，如果用戶訪問的url沒有分配權限則跳轉到無權操作提示頁面（refuse.jsp），本功能也可以使用filter實現。

1.8 用戶登陸

用戶輸入用戶賬號和密碼登陸，登陸成功將用戶的身份信息（用戶賬號、密碼、權限菜單、權限url等）記入activeUser類，並寫入session。

1.8.1 controller

1.8.2 service接口

1 shiro介紹1.1 什么是shiro

Shiro是apache旗下一個開源框架，它將軟件系統的安全認證相關的功能抽取出來，實現用戶身份認證，權限授權、加密、會話管理等功能，組成了一個通用的安全認證框架。

1.2 為什么要學shiro

既然shiro將安全認證相關的功能抽取出來組成一個框架，使用shiro就可以非常快速的完成認證、授權等功能的開發，降低系統成本。

shiro使用廣泛，shiro可以運行在web應用，非web應用，集群分布式應用中越來越多的用戶開始使用shiro。

java領域中spring security(原名Acegi)也是一個開源的權限管理框架，但是spring security依賴spring運行，而shiro就相對獨立，最主要是因為shiro使用簡單、靈活，所以現在越來越多的用戶選擇shiro。

1.3 Shiro架構

1.3.1 Subject

Subject即主體，外部應用與subject進行交互，subject記錄了當前操作用戶，將用戶的概念理解為當前操作的主體，可能是一個通過瀏覽器請求的用戶，也可能是一個運行的程序。Subject在shiro中是一個接口，接口中定義了很多認證授相關的方法，外部程序通過subject進行認證授，而subject是通過SecurityManager安全管理器進行認證授權

1.3.2 SecurityManager

SecurityManager即安全管理器，對全部的subject進行安全管理，它是shiro的核心，負責對所有的subject進行安全管理。通過SecurityManager可以完成subject的認證、授權等，實質上SecurityManager是通過Authenticator進行認證，通過Authorizer進行授權，通過SessionManager進行會話管理等。

SecurityManager是一個接口，繼承了Authenticator, Authorizer, SessionManager這三個接口。

1.3.3 Authenticator

Authenticator即認證器，對用戶身份進行認證，Authenticator是一個接口，shiro提供ModularRealmAuthenticator實現類，通過ModularRealmAuthenticator基本上可以滿足大多數需求，也可以自定義認證器。

1.3.4 Authorizer

Authorizer即授權器，用戶通過認證器認證通過，在訪問功能時需要通過授權器判斷用戶是否有此功能的操作權限。

1.3.5 realm

Realm即領域，相當於datasource數據源，securityManager進行安全認證需要通過Realm獲取用戶權限數據，比如：如果用戶身份數據在數據庫那么realm就需要從數據庫獲取用戶身份信息。

注意：不要把realm理解成只是從數據源取數據，在realm中還有認證授權校驗的相關的代碼。

1.3.6 sessionManager

sessionManager即會話管理，shiro框架定義了一套會話管理，它不依賴web容器的session，所以shiro可以使用在非web應用上，也可以將分布式應用的會話集中在一點管理，此特性可使它實現單點登錄。

1.3.7 SessionDAO

SessionDAO即會話dao，是對session會話操作的一套接口，比如要將session存儲到數據庫，可以通過jdbc將會話存儲到數據庫。

1.3.8 CacheManager

CacheManager即緩存管理，將用戶權限數據存儲在緩存，這樣可以提高性能。

1.3.9 Cryptography

Cryptography即密碼管理，shiro提供了一套加密/解密的組件，方便開發。比如提供常用的散列、加/解密等功能。

1.4 shiro的jar包

與其它java開源框架類似，將shiro的jar包加入項目就可以使用shiro提供的功能了。shiro-core是核心包必須選用，還提供了與web整合的shiro-web、與spring整合的shiro-spring、與任務調度quartz整合的shiro-quartz等，下邊是shiro各jar包的maven坐標。