認證與Shiro安全框架

 

本文內容均來自官網

1.簡介

Apache Shiro是Java的一個安全框架。功能強大，使用簡單的Java安全框架，它為開發人員提供一個直觀而全面的認證，授權，加密及會話管理的解決方案。

實際上，Shiro的主要功能是管理應用程序中與安全相關的全部，同時盡可能支持多種實現方法。Shiro是建立在完善的接口驅動設計和面向對象原則之上的，支持各種自定義行為。Shiro提供的默認實現，使其能完成與其他安全框架同樣的功能，這不也是我們一直努力想要得到的嗎！

Apache Shiro相當簡單，對比Spring Security，可能沒有Spring Security做的功能強大，但是在實際工作時可能並不需要那么復雜的東西，所以使用小而簡單的Shiro就足夠了。對於它倆到底哪個好，這個不必糾結，能更簡單的解決項目問題就好了。

Shiro可以非常容易的開發出足夠好的應用，其不僅可以用在JavaSE環境，也可以用在JavaEE環境。Shiro可以幫助我們完成：認證、授權、加密、會話管理、與Web集成、緩存等。這不就是我們想要的嘛，而且Shiro的API也是非常簡單；其基本功能點如下圖所示：

Authentication：身份認證/登錄，驗證用戶是不是擁有相應的身份；

Authorization：授權，即權限驗證，驗證某個已認證的用戶是否擁有某個權限；即判斷用戶是否能做事情，常見的如：驗證某個用戶是否擁有某個角色。或者細粒度的驗證某個用戶對某個資源是否具有某個權限；

Session Manager：會話管理，即用戶登錄后就是一次會話，在沒有退出之前，它的所有信息都在會話中；會話可以是普通JavaSE環境的，也可以是如Web環境的；

Cryptography：加密，保護數據的安全性，如密碼加密存儲到數據庫，而不是明文存儲；

Web Support：Web支持，可以非常容易的集成到Web環境；

Caching：緩存，比如用戶登錄后，其用戶信息、擁有的角色/權限不必每次去查，這樣可以提高效率；

Concurrency：shiro支持多線程應用的並發驗證，即如在一個線程中開啟另一個線程，能把權限自動傳播過去；

Testing：提供測試支持；

Run As：允許一個用戶假裝為另一個用戶（如果他們允許）的身份進行訪問；

Remember Me：記住我，這個是非常常見的功能，即一次登錄后，下次再來的話不用登錄了。

記住一點，Shiro不會去維護用戶、維護權限；這些需要我們自己去設計/提供；然后通過相應的接口注入給Shiro即可。

接下來我們分別從外部和內部來看看Shiro的架構，對於一個好的框架，從外部來看應該具有非常簡單易於使用的API，且API契約明確；從內部來看的話，其應該有一個可擴展的架構，即非常容易插入用戶自定義實現，因為任何框架都不能滿足所有需求。

首先，我們從外部來看Shiro吧，即從應用程序角度的來觀察如何使用Shiro完成工作。如下圖：

可以看到：應用代碼直接交互的對象是Subject，也就是說Shiro的對外API核心就是Subject；其每個API的含義：

Subject：主體，代表了當前“用戶”，這個用戶不一定是一個具體的人，與當前應用交互的任何東西都是Subject，如網絡爬蟲，機器人等；即一個抽象概念；所有Subject都綁定到SecurityManager，與Subject的所有交互都會委托給SecurityManager；可以把Subject認為是一個門面；SecurityManager才是實際的執行者；

SecurityManager：安全管理器；即所有與安全有關的操作都會與SecurityManager交互；且它管理着所有Subject；可以看出它是Shiro的核心，它負責與后邊介紹的其他組件進行交互，如果學習過SpringMVC，你可以把它看成DispatcherServlet前端控制器；

Realm：域，Shiro從Realm獲取安全數據（如用戶、角色、權限），就是說SecurityManager要驗證用戶身份，那么它需要從Realm獲取相應的用戶進行比較以確定用戶身份是否合法；也需要從Realm得到用戶相應的角色/權限進行驗證用戶是否能進行操作；可以把Realm看成DataSource，即安全數據源。

也就是說對於我們而言，最簡單的一個Shiro應用：

1、應用代碼通過Subject來進行認證和授權，而Subject又委托給SecurityManager；

2、我們需要給Shiro的SecurityManager注入Realm，從而讓SecurityManager能得到合法的用戶及其權限進行判斷。

從以上也可以看出，Shiro不提供維護用戶/權限，而是通過Realm讓開發人員自己注入。

接下來我們來從Shiro內部來看下Shiro的架構，如下圖所示：

Subject：主體，可以看到主體可以是任何可以與應用交互的“用戶”；

SecurityManager：相當於SpringMVC中的DispatcherServlet或者Struts2中的FilterDispatcher；是Shiro的心臟；所有具體的交互都通過SecurityManager進行控制；它管理着所有Subject、且負責進行認證和授權、及會話、緩存的管理。

Authenticator：認證器，負責主體認證的，這是一個擴展點，如果用戶覺得Shiro默認的不好，可以自定義實現；其需要認證策略（Authentication Strategy），即什么情況下算用戶認證通過了；

Authrizer：授權器，或者訪問控制器，用來決定主體是否有權限進行相應的操作；即控制着用戶能訪問應用中的哪些功能；

Realm：可以有1個或多個Realm，可以認為是安全實體數據源，即用於獲取安全實體的；可以是JDBC實現，也可以是LDAP實現，或者內存實現等等；由用戶提供；注意：Shiro不知道你的用戶/權限存儲在哪及以何種格式存儲；所以我們一般在應用中都需要實現自己的Realm；

SessionManager：如果寫過Servlet就應該知道Session的概念，Session呢需要有人去管理它的生命周期，這個組件就是SessionManager；而Shiro並不僅僅可以用在Web環境，也可以用在如普通的JavaSE環境、EJB等環境；所有呢，Shiro就抽象了一個自己的Session來管理主體與應用之間交互的數據；這樣的話，比如我們在Web環境用，剛開始是一台Web服務器；接着又上了台EJB服務器；這時想把兩台服務器的會話數據放到一個地方，這個時候就可以實現自己的分布式會話（如把數據放到Memcached服務器）；

SessionDAO：DAO大家都用過，數據訪問對象，用於會話的CRUD，比如我們想把Session保存到數據庫，那么可以實現自己的SessionDAO，通過如JDBC寫到數據庫；比如想把Session放到Memcached中，可以實現自己的Memcached SessionDAO；另外SessionDAO中可以使用Cache進行緩存，以提高性能；

CacheManager：緩存控制器，來管理如用戶、角色、權限等的緩存的；因為這些數據基本上很少去改變，放到緩存中后可以提高訪問的性能

Cryptography：密碼模塊，Shiro提高了一些常見的加密組件用於如密碼加密/解密的。

2.過濾器和權限攔截器

過濾器簡稱	對應的java類
anon	org.apache.shiro.web.filter.authc.AnonymousFilter
authc	org.apache.shiro.web.filter.authc.FormAuthenticationFilter
authcBasic	org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter
perms	org.apache.shiro.web.filter.authz.PermissionsAuthorizationFilter
port	org.apache.shiro.web.filter.authz.PortFilter
rest	org.apache.shiro.web.filter.authz.HttpMethodPermissionFilter
roles	org.apache.shiro.web.filter.authz.RolesAuthorizationFilter
ssl	org.apache.shiro.web.filter.authz.SslFilter
user	org.apache.shiro.web.filter.authc.UserFilter
logout	org.apache.shiro.web.filter.authc.LogoutFilter

3.前端Shiro標簽

 

標簽名稱	標簽條件（均是顯示標簽內容）
<shiro:authenticated>	登錄之后
<shiro:notAuthenticated>	不在登錄狀態時
<shiro:guest>	用戶在沒有RememberMe時
<shiro:user>	用戶在RememberMe時
<shiro:hasAnyRoles name="abc,123" >	在有abc或者123角色時
<shiro:hasRole name="abc">	擁有角色abc
<shiro:lacksRole name="abc">	沒有角色abc
<shiro:hasPermission name="abc">	擁有權限資源abc
<shiro:lacksPermission name="abc">	沒有abc權限資源
<shiro:principal>	默認顯示用戶名稱

4.Spring security和Apache shiro差別

shiro配置更加容易理解，容易上手；security配置相對比較難懂。

在spring的環境下，security整合性更好。Shiro對很多其他的框架兼容性更好，號稱是無縫集成。

shiro 不僅僅可以使用在web中，它可以工作在任何應用環境中。

在集群會話時Shiro最重要的一個好處或許就是它的會話是獨立於容器的。

Shiro提供的密碼加密使用起來非常方便。

5.控制精度

Shiro也支持注解方式。

注解方式控制權限只能是在方法上控制，無法控制類級別訪問。

過濾器方式控制是根據訪問的URL進行控制。允許使用*匹配URL，所以可以進行粗粒度，也可以進行細粒度控制。

6.Shiro具體應用

6.1.導入jar包

 <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-all</artifactId>
            <version>${shiro.version}</version>
 </dependency>

 

6.2.過濾器的配置

雖然需要配置10個過濾器，但是使用的時候只需要在web.xml中配置一個就可以（DelegatingFulterProxy）,具體配置如下

   <!-- Shiro Security filter  filter-name這個名字的值將來還會在spring中用到  -->
   <filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
        <init-param>
            <param-name>targetFilterLifecycle</param-name>
            <param-value>true</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
    

 

6.3.Shiro配置文件

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"  
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"       
    xmlns:p="http://www.springframework.org/schema/p"  
    xmlns:context="http://www.springframework.org/schema/context"   
    xmlns:tx="http://www.springframework.org/schema/tx"  
    xmlns:aop="http://www.springframework.org/schema/aop"  
    xsi:schemaLocation="http://www.springframework.org/schema/beans    
    http://www.springframework.org/schema/beans/spring-beans.xsd    
    http://www.springframework.org/schema/aop    
    http://www.springframework.org/schema/aop/spring-aop.xsd    
    http://www.springframework.org/schema/tx    
    http://www.springframework.org/schema/tx/spring-tx.xsd    
    http://www.springframework.org/schema/context    
    http://www.springframework.org/schema/context/spring-context.xsd">
    
    <description>Shiro的配置文件</description>
    
    <!-- SecurityManager配置 -->
    <!-- 配置Realm域 -->
    <!-- 密碼比較器 -->
    <!-- 代理如何生成？ 用工廠來生成Shiro的相關過濾器-->
    <!-- 配置緩存：ehcache緩存 -->
    <!-- 安全管理 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!-- Single realm app.  If you have multiple realms, use the 'realms' property instead. -->
        <property name="realm" ref="authRealm"/><!-- 引用自定義的realm -->
        <!-- 緩存 -->
        <property name="cacheManager" ref="shiroEhcacheManager"/>
    </bean>

    <!-- 自定義權限認證 -->
    <bean id="authRealm" class="cn.itcast.jk.shiro.AuthRealm">
        <property name="userService" ref="userService"/>
        <!-- 自定義密碼加密算法  -->
        <property name="credentialsMatcher" ref="passwordMatcher"/>
    </bean>
    
    <!-- 設置密碼加密策略 md5hash -->
    <bean id="passwordMatcher" class="cn.itcast.jk.shiro.CustomCredentialsMatcher"/>

    <!-- filter-name這個名字的值來自於web.xml中filter的名字 -->
    <bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
        <property name="securityManager" ref="securityManager"/>
        <!--登錄頁面  -->
        <property name="loginUrl" value="/index.jsp"></property>
        <!-- 登錄成功后 -->      
        <property name="successUrl" value="/home.action"></property>
        <property name="filterChainDefinitions">
            <!-- /**代表下面的多級目錄也過濾 -->
            <value>
                /index.jsp* = anon
                /home* = anon
                /sysadmin/login/login.jsp* = anon
                /sysadmin/login/logout.jsp* = anon
                /login* = anon
                /logout* = anon
                /components/** = anon
                /css/** = anon
                /images/** = anon
                /js/** = anon
                /make/** = anon
                /skin/** = anon
                /stat/** = anon
                /ufiles/** = anon
                /validator/** = anon
                /resource/** = anon
                /** = authc
                /*.* = authc
            </value>
        </property>
    </bean>

    <!-- 用戶授權/認證信息Cache, 采用EhCache  緩存 -->
    <bean id="shiroEhcacheManager" class="org.apache.shiro.cache.ehcache.EhCacheManager">
        <property name="cacheManagerConfigFile" value="classpath:ehcache-shiro.xml"/>
    </bean>

    <!-- 保證實現了Shiro內部lifecycle函數的bean執行 -->
    <bean id="lifecycleBeanPostProcessor" class="org.apache.shiro.spring.LifecycleBeanPostProcessor"/>

    <!-- 生成代理，通過代理進行控制 -->
    <bean class="org.springframework.aop.framework.autoproxy.DefaultAdvisorAutoProxyCreator"
          depends-on="lifecycleBeanPostProcessor">
        <property name="proxyTargetClass" value="true"/>
    </bean>
    
    <!-- 安全管理器 -->
    <bean class="org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor">
        <property name="securityManager" ref="securityManager"/>
    </bean>
    
    
</beans>

 

6.4自定義密碼比較器

密碼比較器，用於用戶登錄身份驗證，用md5加密

/**
 * 密碼比較器：規范是extends SimpleCredentialsMatcher 
 * @author Administrator
 *
 */
public class CustomCredentialsMatcher extends SimpleCredentialsMatcher {

    /**
     * 重寫父類的密碼比較的方法
     * 比較的算法：
     *     1.接收用戶在密碼框輸入的明文
     *     2.使用Md5Hash算法進行加密 
     *     3.獲取數據庫中的加密的密碼進行比較
     *     
     *     第一個參數token:代表用戶在界面上輸入的用戶名和密碼
     *     第二個參數info:它內部會包含數據庫中的密碼（當前用戶加密后的密碼）
     *     
     *     返回值：如果返回true代表密碼驗證成功，如果返回false代表密碼比對失敗，失敗后程序就會出現異常
     *     
     */
    public boolean doCredentialsMatch(AuthenticationToken token, AuthenticationInfo info) {
        //1.向下轉型
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        
        //2.獲取用戶名或密碼
        String username = upToken.getUsername();
        //獲取密碼並使用Md5Hash算法進行加密 
        String inputPwdEncrypt = Encrypt.md5(new String(upToken.getPassword()), username);
        
        //3.獲取數據庫中的加密的密碼
        String dbPwd = info.getCredentials().toString();
        
        return equals(inputPwdEncrypt, dbPwd);
    }

}

 

 6.5編寫自定義realm域

public class AuthRealm extends AuthorizingRealm {
    private UserService userService;
    public void setUserService(UserService userService) {
        this.userService = userService;
    }

    //授權   第一個參數PrincipalCollection：Principal的集合，其實它里面放了一個用戶的信息
    /**
     * 當jsp頁面碰到shiro標簽時，就會自動這個方法
     */
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection pc) {
        //1.從Shiro中取出當前認證的用戶對象
        User user = (User)pc.fromRealm(this.getName()).iterator().next();
        
        //2.獲取用戶的相關權限，首先要去找到角色
        Set<Role> roles = user.getRoles();//對象導航
        
        List<String> permissions = new ArrayList<String>();//產生一個用於保存模塊列表的集合 
        //3.遍歷集合
        for(Role role :roles){
            //得到每個角色對象
            Set<Module> modules = role.getModules();//對象導航，得到這個角色下面的模塊列表
            
            for(Module module :modules){
                //可以取到每個模塊
                permissions.add(module.getCpermission());
            }
        }
        
        //產生一個返回值的對象
        SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
        info.addStringPermissions(permissions);
        
        return info;
    }

    //認證   第一個參數token:代表用戶在界面上輸入的用戶名和密碼    AuthenticationInfo
    //如果函數返回null，程序也會拋出異常    如果正常程序就會自動進入到密碼比較器
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        
        //1.向下轉型
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
                
        //2.獲取用戶名
        String username = upToken.getUsername();
        
        //3.根據用戶名查詢數據庫
        List<User> userList = userService.find("from User where userName=?" , User.class, new String[]{username});
        
        if(userList!=null && userList.size()>0){
            User user = userList.get(0);
            //第一個參數：代表用戶的實體對象             第二個參數credentials：密碼       第三個參數：relam的名字
            return new SimpleAuthenticationInfo(user,user.getPassword(),this.getName());
        }
        return null;
    }

}

 

 6.6.登錄操作

public class LoginAction extends BaseAction {

    private static final long serialVersionUID = 1L;

    private String username;
    private String password;



    //SSH傳統登錄方式
    public String login() throws Exception {
        
//        if(true){
//            String msg = "登錄錯誤，請重新填寫用戶名密碼!";
//            this.addActionError(msg);
//            throw new Exception(msg);
//        }
//        User user = new User(username, password);
//        User login = userService.login(user);
//        if (login != null) {
//            ActionContext.getContext().getValueStack().push(user);
//            session.put(SysConstant.CURRENT_USER_INFO, login);    //記錄session
//            return SUCCESS;
//        }
//        return "login";
        
        
        
        if(UtilFuns.isEmpty(username)){
            return "login";
        }
        
        try {
            //1.得到Subject
            Subject subject =SecurityUtils.getSubject();
            
            //2.調用它的登錄方法
            UsernamePasswordToken token = new UsernamePasswordToken(username,password);
            subject.login(token);
            
            //3.取出Shiro中保存的用戶信息
            User user = (User) subject.getPrincipal();
            
            //4.將用戶信息保存到session中
            session.put(SysConstant.CURRENT_USER_INFO, user);
            
            
            return SUCCESS;
        } catch (Exception e) {
            e.printStackTrace();
            request.put("errorInfo", "登錄失敗，用戶名或密碼錯誤！");
            return "login";
        }
    }
    
    
    //退出
    public String logout(){
        session.remove(SysConstant.CURRENT_USER_INFO);        //刪除session
        
        SecurityUtils.getSubject().logout();
        return "logout";
    }

    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }

}

 

6.7.Shiro過程詳解

• 登錄過程

• 授權過程

• 整體分析過程：