shiro實踐(1)：注冊用戶密碼加密、登錄驗證及權限驗證

shiro是java的安全框架，能方便地實現項目的身份驗證、權限驗證等相關安全方面的功能。本人用的shiro版本是1.2.3的，當然還是推薦高版本的，功能封裝得更完善些。

 

1.用戶注冊時，將用戶設置的密碼加密后存入數據庫中（顯然密碼不能簡單地用md5加密一次或者干脆不加密，這些都是會暴露用戶隱私的，甚至是觸動用戶的利益）：

 

        //生成鹽（部分，需要存入數據庫中）
        String random=new SecureRandomNumberGenerator().nextBytes().toHex();
        
        //將原始密碼加鹽（上面生成的鹽），並且用md5算法加密三次，將最后結果存入數據庫中
        String result = new Md5Hash("password",random,3).toString();

 

2.登錄驗證及權限驗證(繼承AuthorizingRealm，覆蓋其中的方法)：

@Component
public class MyRealM extends AuthorizingRealm {


    @Autowired
    private LoginService loginService;

    /**
     * 獲取用戶角色和權限，用於權限認證
     * @param principals
     * @return
     */
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {

        String username = principals.getPrimaryPrincipal().toString();

        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //獲取角色(從數據庫中取出時使用逗號分隔的)
        UserInfo user = loginService.getUserByName(username);
        String[] roleArray = user.getUserrole().split(",");

        Set<String> roles = new HashSet<String>();
        for (String roleid : roleArray) {
            roles.add(loginService.getRoles(roleid));
        }

        //獲取權限（根據角色查詢權限表）
        Set<String> permissions = new HashSet<String>();
        for (String roleid : roleArray) {
            permissions.addAll(loginService.getPermissions(roleid));
        }

        info.setRoles(roles);
        info.setStringPermissions(permissions);
        return info;
    }

    /**
     * 設置用戶登錄認證
     * @param token
     * @return
     * @throws AuthenticationException
     */
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        //獲取輸入的用戶賬號，並通過賬號獲取相關信息
        String username = token.getPrincipal().toString();
        UserInfo user = loginService.getUserByName(username);
        if (user != null) {
            //將查詢到的用戶賬號和密碼存放到 authenticationInfo用於后面的權限判斷。第三個參數傳入用戶輸入的用戶名。
            SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(user.getUsername(), user.getPwd(), getName());
            //設置鹽，用來核對密碼
            authenticationInfo.setCredentialsSalt(ByteSource.Util.bytes(user.getRandom()));
          
            return authenticationInfo;
        } else {
            return null;
        }

    }


}

 

3.shiro增加的配置：

    <!-- 配置自定義Realm，設定核對密碼時在加鹽后，要用MD5算法對用戶輸入的密碼加密3次用於核對 -->
    <bean id="myRealM" class="com.test.shiro.MyRealM">
        <property name="credentialsMatcher" >
            <bean class="org.apache.shiro.authc.credential.HashedCredentialsMatcher">
                <property name="hashAlgorithmName" value="MD5"></property>
                <property name="hashIterations" value="3"></property>
            </bean>
        </property>
    </bean>


    <!-- 安全管理器 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <property name="realm" ref="myRealM"/>
    </bean>

    <!--Shiro過濾器-->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- Shiro的核心安全接口,這個屬性是必須的 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 身份認證失敗，則跳轉到登錄頁面的配置 -->
        <property name="loginUrl" value="/sourceA/pageA"/>
        <!-- 權限認證失敗，則跳轉到指定頁面 -->
        <property name="unauthorizedUrl" value="/sourceA/error"/>
        <!-- Shiro連接約束配置,即過濾鏈的定義 -->
        <property name="filterChainDefinitions">
            <value>
                 <!--anon 表示匿名訪問，不需要認證以及授權 -->
                /sourceB=anon
                 <!--authc表示需要認證，沒有進行身份認證是不能進行訪問的-->
                /sourceA*=authc
                 <!--roles[內容] 表示需要內容所示的角色才能訪問該路徑-->
                /sourceA=roles[user]
                 <!--perms[內容] 表示需要內容所示的權限才能訪問該路徑-->
                /sourceC/**=perms["sourceC"]
                /sourceD/**=authc,perms["sourceD"]
           
            </value>
        </property>
    </bean>

 

 

4.登錄，調用用戶登錄驗證（權限及角色驗證在用戶訪問某路徑時進行攔截）：

        //用戶信息bean      
        UserInfo info = new UserInfo();
        info.setPwd("password");
        info.setUsername("username");

        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token = new UsernamePasswordToken(info.getUsername(), info.getPwd());

        try {

            //驗證
            subject.login(token);
           
            //登陸成功后的處理邏輯：      
            System.out.println("登陸成功");
           
        } catch (Exception e) {
            //登陸失敗后的處理邏輯：
            System.out.println("用戶名或密碼錯誤");
           
        }

 

5.登出

  Subject subject = SecurityUtils.getSubject();
        if (subject.isAuthenticated()) {
            subject.logout();
        }