SSH下shiro的基本使用

1、引入依賴

<!-- 權限控制 框架 -->

<dependency>
  
　　<groupId>org.apache.shiro</groupId>
      
　　<artifactId>shiro-all</artifactId>
      
　　<version>1.2.2</version>
 
</dependency>

2、配置web.xml

<!--
    spring框架提供,整合shiro框架
    
　　　　　一定要在Struts攔截器之前配置
    
　　　　　DelegatingFilterProxy在創建過程中,依賴一個對象,這個對象必須在applicationContext.xml 文件中間注冊,
    
　　　　　而且注冊的時候聲明的ID必須和DelegatingFilterProxy聲明的filter-name保持一致
 
-->

<filter>
  
　　<filter-name>shiroFilterFactoryBean</filter-name>
  
　　<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>

</filter>

<filter-mapping>
  
　　<filter-name>shiroFilterFactoryBean</filter-name>
  
　　<url-pattern>/*</url-pattern>

</filter-mapping>

3、配置applicationContext.xml,配置全局權限

    <!-- 初始化shiro框架提供的過濾器 -->
    <bean id="shiroFilterFactoryBean" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <!-- 注入安全管理器 -->
        <property name="securityManager" ref="securityManager"/>
        <!-- 權限認證的頁面,登錄頁面 -->
        <property name="loginUrl" value="/login.html"/>
        <!-- 權限認證成功以后要跳轉的頁面 -->
        <property name="successUrl" value="/index.html"/>
        <!-- 權限認證失敗(權限不足)以后要跳轉的頁面 只對攔截器生效,不對注解起效-->
        <property name="unauthorizedUrl" value="/unauthorizedUrl.html"/>
        <!--指定攔截規則-->
        <property name="filterChainDefinitions" >
            <!--
                authc:框架提供的過濾器,有權限就放行,沒有權限就攔截
                anon:框架提供的過濾器,可以匿名訪問
                perms:框架提供的過濾器,用戶請求資源的時候,會去檢查用戶是否擁有對應的權限,如果有就放行,沒有,跳轉到unauthorizedUrl屬性指定的頁面
                攔截的規則執行的時候是從上往下執行的,一旦有一個規則匹配成功.后面的規則就不再執行了
                攔截規則不能折行
            -->
            <value>
                /webService/** = anon
                /upload/* = anon
                /css/* = anon
                /data/* = anon
                /images/* = anon
                /js/** = anon
                /validatecode.jsp* = anon
                /userAction_login.action = anon
                /courierAction_pageQuery.action = perms["courierAction_pageQuery"]
                /** = authc
            </value>
        </property>

    </bean>
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!-- 配置realm類 -->
        <property name="realm" ref="userRealm"/>
    </bean>

4、配置applicationContext.xml開啟cglib代理，啟動shiro權限注解掃描

    <!--
        開啟事務注解
        JDK代理
        CGLib代理方式
        proxy-target-class:true 使用cglib代理
        proxy-target-class:false 使用jdk代理
    -->
    <tx:annotation-driven proxy-target-class="true" transaction-manager="transactionManager" />

    <!--基於spring的自動代理,創建service層的實現-->
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator">
        <!--開啟cglib 代理-->
        <property name="proxyTargetClass" value="true"/>
    </bean>
    <!--配置切面-->
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <!--注入安全管理器 -->
        <property name="securityManager" ref="securityManager"/>
    </bean>

5、在action層中創建subject，交由Security Manager進行權限校驗

    @Action(value = "userAction_login",results = {
            @Result(name = "success",location = "/index.html",type = "redirect"),
            @Result(name = "error",location = "/login.html",type = "redirect")
    })
    public String login(){
        String serverCode = (String) ServletActionContext.getRequest().getSession().getAttribute("key");

        if (StringUtils.isNotEmpty(checkCode) && StringUtils.isNotEmpty(serverCode)){
            Subject subject = SecurityUtils.getSubject();

            AuthenticationToken token = new UsernamePasswordToken(
                    getModel().getUsername(),getModel().getPassword());

            try {
                subject.login(token);
                //方法的返回值有Realm中doGetAuthenticationInfo方法定義SimpleAuthenticationInfo對象的時候,第一個參數決定的
                User user = (User) subject.getPrincipal();
                ServletActionContext.getRequest().getSession().setAttribute("user",user);
                return SUCCESS;
            } catch (AuthenticationException e) {
                e.printStackTrace();
                System.out.println("用戶名或密碼錯誤");
            }
        }
        return ERROR;
    }

6、創建realm進行授權認證等

@Component
public class UserRealm extends AuthorizingRealm{

    @Autowired
    private UserRepository userRepository;

    @Autowired
    private RoleRepository roleRepository;

    @Autowired
    private PermissionRepository permissionRepository;

    //授權的方法
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        //根據當前用戶的用戶名去查詢對應的權限和角色
        Subject subject = SecurityUtils.getSubject();
        User user = (User) subject.getPrincipal();
        if ("admin".equals(user.getUsername())){
            List<Role> list = roleRepository.findAll();
            for (Role role : list) {
                info.addRole(role.getKeyword());
            }

            List<Permission> permissions = permissionRepository.findAll();
            for (Permission permission : permissions) {
                info.addStringPermission(permission.getKeyword());
            }
        }else {
           List<Role> roles =roleRepository.findbyUid(user.getId());
            for (Role role : roles) {
                info.addRole(role.getKeyword());
            }
            List<Permission> permissions = permissionRepository.findbyUid(user.getId());
            for (Permission permission : permissions) {
                info.addStringPermission(permission.getKeyword());
            }
        }

        return info;
    }
    //認證的方法
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(
            AuthenticationToken authenticationToken) throws AuthenticationException {

        UsernamePasswordToken usernamePasswordToken = (UsernamePasswordToken) authenticationToken;
        String username = usernamePasswordToken.getUsername();
        //根據用戶名查找用戶
        User user = userRepository.findByUsername(username);
        if (user != null){

    /*@param principal   當事人,主體,通常是從數據庫中查詢到的用戶
     * @param credentials 憑證,密碼,是從數據庫中查詢出來的密碼
     * @param realmName   the realm from where the principal and credentials were acquired.*/
            //找到 -> 對比密碼
            AuthenticationInfo info =  new SimpleAuthenticationInfo(user,user.getPassword(),getName());
            //      比對成功-> 執行后續的邏輯
            //      比對失敗-> 拋異常
            return info;
        }
        //找不到 -> 拋異常
        return null;
    }
}

7、給對應的方法添加權限注解（一般在service層）

    @RequiresPermissions("batchDel")
    //在調用方法時,框架就會檢查當前用戶是否有對應的權限,如果有就放行,沒有就拋異常,啟用權限注解必須開啟CGLib
    @Override
    public void batchDel(String ids) {
        if(StringUtils.isNotEmpty(ids)){
            String[] strings = ids.split(",");
            for (String string : strings) {
                courierRepository.updateDelTagsById(Long.parseLong(string));
            }
        }
    }

8、給對應的jsp頁面添加權限標簽進行顯示隱藏

 <shiro:hasPermission name="courierAction_pageQuery">
 {
    id : 'button-delete',
    text : '作廢',
    iconCls : 'icon-cancel',
    handler : doDelete
 }
 </shiro:hasPermission>

9、一般頁面的顯示的邏輯是：根據用戶所有擁有的角色和權限進行動態生成菜單，從而只顯示用戶可操作的頁面。