Apache Shiro(四)-登錄認證和權限管理WEB支持（Servlet）

新建web項目

　　

web.xml

　　修改web.xml，在里面加了個過濾器。 這個過濾器的作用，簡單的說，就是 Shiro 入門里的TestShiro 這部分的工作，悄悄的干了。

//加載配置文件，並獲取工廠

Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");

//獲取安全管理者實例

SecurityManager sm = factory.getInstance();

//將安全管理者放入全局對象

SecurityUtils.setSecurityManager(sm);

 

<web-app>
    <listener>
        <listener-class>org.apache.shiro.web.env.EnvironmentLoaderListener</listener-class>
    </listener>
    <context-param>
        <param-name>shiroEnvironmentClass</param-name>
        <param-value>org.apache.shiro.web.env.IniWebEnvironment</param-value><!-- 默認先從/WEB-INF/shiro.ini，如果沒有找classpath:shiro.ini -->
    </context-param>
    <context-param>
        <param-name>shiroConfigLocations</param-name>
        <param-value>classpath:shiro.ini</param-value>
    </context-param>
    <filter>
        <filter-name>shiroFilter</filter-name>
        <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>shiroFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
</web-app>

User DAO DatabaseRealm

這三個類和前面一樣，不用多說。

User.java

package com.how2java;
 
public class User {
 
    private int id;
    private String name;
    private String password;
    public String getName() {
        return name;
    }
    public void setName(String name) {
        this.name = name;
    }
    public String getPassword() {
        return password;
    }
    public void setPassword(String password) {
        this.password = password;
    }
    public int getId() {
        return id;
    }
    public void setId(int id) {
        this.id = id;
    }
     
}

DAO

package com.how2java;
 
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.util.HashSet;
import java.util.Set;
 
public class DAO {
    public DAO() {
        try {
            Class.forName("com.mysql.jdbc.Driver");
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        }
    }
 
    public Connection getConnection() throws SQLException {
        return DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/shiro?characterEncoding=UTF-8", "root",
                "admin");
    }
 
    public String getPassword(String userName) {
        String sql = "select password from user where name = ?";
        try (Connection c = getConnection(); PreparedStatement ps = c.prepareStatement(sql);) {
             
            ps.setString(1, userName);
             
            ResultSet rs = ps.executeQuery();
 
            if (rs.next())
                return rs.getString("password");
 
        } catch (SQLException e) {
 
            e.printStackTrace();
        }
        return null;
    }
     
    public Set<String> listRoles(String userName) {
         
        Set<String> roles = new HashSet<>();
        String sql = "select r.name from user u "
                + "left join user_role ur on u.id = ur.uid "
                + "left join Role r on r.id = ur.rid "
                + "where u.name = ?";
        try (Connection c = getConnection(); PreparedStatement ps = c.prepareStatement(sql);) {
            ps.setString(1, userName);
            ResultSet rs = ps.executeQuery();
             
            while (rs.next()) {
                roles.add(rs.getString(1));
            }
             
        } catch (SQLException e) {
             
            e.printStackTrace();
        }
        return roles;
    }
    public Set<String> listPermissions(String userName) {
        Set<String> permissions = new HashSet<>();
        String sql =
            "select p.name from user u "+
            "left join user_role ru on u.id = ru.uid "+
            "left join role r on r.id = ru.rid "+
            "left join role_permission rp on r.id = rp.rid "+
            "left join permission p on p.id = rp.pid "+
            "where u.name =?";
         
        try (Connection c = getConnection(); PreparedStatement ps = c.prepareStatement(sql);) {
             
            ps.setString(1, userName);
             
            ResultSet rs = ps.executeQuery();
             
            while (rs.next()) {
                permissions.add(rs.getString(1));
            }
             
        } catch (SQLException e) {
             
            e.printStackTrace();
        }
        return permissions;
    }
    public static void main(String[] args) {
        System.out.println(new DAO().listRoles("zhang3"));
        System.out.println(new DAO().listRoles("li4"));
        System.out.println(new DAO().listPermissions("zhang3"));
        System.out.println(new DAO().listPermissions("li4"));
    }
}

DatabaseRealm

package com.how2java;
 
import java.util.Set;
 
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
 
public class DatabaseRealm extends AuthorizingRealm {
 
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principalCollection) {
        //能進入到這里，表示賬號已經通過驗證了
        String userName =(String) principalCollection.getPrimaryPrincipal();
        //通過DAO獲取角色和權限
        Set<String> permissions = new DAO().listPermissions(userName);
        Set<String> roles = new DAO().listRoles(userName);
         
        //授權對象
        SimpleAuthorizationInfo s = new SimpleAuthorizationInfo();
        //把通過DAO獲取到的角色和權限放進去
        s.setStringPermissions(permissions);
        s.setRoles(roles);
        return s;
    }
 
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        //獲取賬號密碼
        UsernamePasswordToken t = (UsernamePasswordToken) token;
        String userName= token.getPrincipal().toString();
        String password= new String( t.getPassword());
        //獲取數據庫中的密碼
        String passwordInDB = new DAO().getPassword(userName);
 
        //如果為空就是賬號不存在，如果不相同就是密碼錯誤，但是都拋出AuthenticationException，而不是拋出具體錯誤原因，免得給破解者提供幫助信息
        if(null==passwordInDB || !passwordInDB.equals(password))
            throw new AuthenticationException();
         
        //認證信息里存放賬號密碼, getName() 是當前Realm的繼承方法,通常返回當前類名 :databaseRealm
        SimpleAuthenticationInfo a = new SimpleAuthenticationInfo(userName,password,getName());
        return a;
    }
 
}

LoginServlet

LoginServlet 映射路徑/login的訪問。
獲取賬號和密碼，然后組成UsernamePasswordToken 對象，仍給Shiro進行判斷。 如果判斷不報錯，即表示成功，客戶端跳轉到根目錄，否則返回login.jsp，並帶上錯誤信息
登錄成功后還會把subject放在shiro的session對象里，shiro的這個session和httpsession是串通好了的，所以在這里放了，它會自動放在httpsession里，它們之間是同步的。

package com.how2java;
 
import java.io.IOException;
 
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
 
import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.session.Session;
import org.apache.shiro.subject.Subject;
 
@WebServlet(name = "loginServlet", urlPatterns = "/login") 
public class LoginServlet extends HttpServlet { 
    protected void doPost(HttpServletRequest req, HttpServletResponse resp) 
      throws ServletException, IOException { 
        String name = req.getParameter("name"); 
        String password = req.getParameter("password"); 
        Subject subject = SecurityUtils.getSubject(); 
        UsernamePasswordToken token = new UsernamePasswordToken(name, password); 
        try { 
            subject.login(token);
            Session session=subject.getSession();
            session.setAttribute("subject", subject);
             
            resp.sendRedirect("");
        } catch (AuthenticationException e) { 
            req.setAttribute("error", "驗證失敗"); 
            req.getRequestDispatcher("login.jsp").forward(req, resp);
        } 
    } 
} 

shiro.ini

[main]  
#使用數據庫進行驗證和授權
databaseRealm=com.how2java.DatabaseRealm
securityManager.realms=$databaseRealm

#當訪問需要驗證的頁面，但是又沒有驗證的情況下，跳轉到login.jsp
authc.loginUrl=/login.jsp
#當訪問需要角色的頁面，但是又不擁有這個角色的情況下，跳轉到noroles.jsp
roles.unauthorizedUrl=/noRoles.jsp
#當訪問需要權限的頁面，但是又不擁有這個權限的情況下，跳轉到noperms.jsp
perms.unauthorizedUrl=/noPerms.jsp

#users，roles和perms都通過前面知識點的數據庫配置了
[users]  

#urls用來指定哪些資源需要什么對應的授權才能使用
[urls]  
#doLogout地址就會進行退出行為
/doLogout=logout
#login.jsp,noroles.jsp,noperms.jsp 可以匿名訪問
/login.jsp=anon
/noroles.jsp=anon
/noperms.jsp=anon

#查詢所有產品,需要登錄后才可以查看
/listProduct.jsp=authc  
#增加商品不僅需要登錄，而且要擁有 productManager 權限才可以操作
/deleteProduct.jsp=authc,roles[productManager]  
#刪除商品，不僅需要登錄，而且要擁有 deleteProduct 權限才可以操作
/deleteOrder.jsp=authc,perms["deleteOrder"]   

style.css

新建個樣式文件，后面的 jsp 會用得着
本文件位於： WebContent/static/css/style.css 下

 

span.desc{
    margin-left:20px;
    color:gray;
}
div.workingroom{
    margin:200px auto;
    width:400px;
}
div.workingroom a{
    display:inline-block;
    margin-top:20px;
}
div.loginDiv{
    text-align: left;
}
div.errorInfo{
    color:red;
    font-size:0.65em;
}

 

index.jsp

1. 通過 ${subject.principal} 來判斷用戶是否登錄，如果登錄過了就顯示退出，如果未登錄就顯示登錄按鈕
2. 提供3個超鏈，分別要 登錄后才可以查看，有角色才能看，有權限才能看，便於進行測試

注： subject 是在 LoginServlet 里放進session的

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8"%>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
 
<%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c"%>
 
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
</head>
<body>
 
<div class="workingroom">
    <div class="loginDiv">
     
    <c:if test="${empty subject.principal}">
        <a href="login.jsp">登錄</a><br>
    </c:if>
    <c:if test="${!empty subject.principal}">
        <span class="desc">你好，${subject.principal}，</span>
        <a href="doLogout">退出</a><br>
    </c:if>
         
    <a href="listProduct.jsp">查看產品</a><span class="desc">(登錄后才可以查看) </span><br>
    <a href="deleteProduct.jsp">刪除產品</a><span  class="desc">(要有產品管理員角色, zhang3沒有，li4 有) </span><br>
    <a href="deleteOrder.jsp">刪除訂單</a><span class="desc">(要有刪除訂單權限, zhang3有，li4沒有) </span><br>
</div>
 
</body>
</html>

login.jsp

登陸頁面，如果有錯誤返回會顯示錯誤. 賬號密碼也寫在下面，方便輸入

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8" import="java.util.*"%>
  
<!DOCTYPE html>
  
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
<div class="workingroom">
 
<div class="errorInfo">${error}</div>
    <form action="login" method="post">
        賬號： <input type="text" name="name"> <br>
        密碼： <input type="password" name="password"> <br>
        <br>
        <input type="submit" value="登錄">
        <br>
        <br>
    <div>
        <span class="desc">賬號:zhang3 密碼:12345 角色:admin</span><br>
        <span class="desc">賬號:li4 密碼:abcde 角色:productManager</span><br>
    </div>
         
    </form>
</div>

listProduct.jsp

根據 shiro.ini 里的配置信息：

/listProduct.jsp=authc 

這個頁面要在登錄之后才能訪問

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8" import="java.util.*"%>
  
<!DOCTYPE html>
  
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
<div class="workingroom">
 
    listProduct.jsp ，能進來，就表示已經登錄成功了
    <br>
    <a href="#" onClick="javascript:history.back()">返回</a>
</div>

deleteOrder.jsp

根據 shiro.ini 里的配置信息：

/deleteProduct.jsp=authc,roles[admin]  

這個頁面要在登錄之后，並且有角色的前提下才能訪問。

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8" import="java.util.*"%>
  
<!DOCTYPE html>
  
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
<div class="workingroom">
 
    deleteOrder.jsp ，能進來，就表示有deleteOrder權限
    <br>
    <a href="#" onClick="javascript:history.back()">返回</a>
</div>

deleteProduct.jsp

根據 shiro.ini 里的配置信息：

/deleteOrder.jsp=authc,perms["deleteOrder"]  

這個頁面要在登錄之后，並且有權限的前提下才能訪問。

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8" import="java.util.*"%>
  
<!DOCTYPE html>
  
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
<div class="workingroom">
 
    deleteProduct.jsp，能進來<br>就表示擁有 productManager 角色
    <br>
    <a href="#" onClick="javascript:history.back()">返回</a>
</div>

noRoles.jsp

根據 shiro.ini 里的配置信息：

roles.unauthorizedUrl=/noRoles.jsp

當沒有角色的時候，就會跳轉到這里來。

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8" import="java.util.*"%>
  
<!DOCTYPE html>
  
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
<div class="workingroom">
 
    角色不匹配
    <br>
    <a href="#" onClick="javascript:history.back()">返回</a>
</div>

noPerms.jsp

根據 shiro.ini 里的配置信息：

perms.unauthorizedUrl=/noPerms.jsp

當沒有權限的時候，就會跳轉到這里來。

<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8" import="java.util.*"%>
  
<!DOCTYPE html>
  
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<link rel="stylesheet" type="text/css" href="static/css/style.css" />
 
<div class="workingroom">
 
    權限不足
    <br>
    <a href="#" onClick="javascript:history.back()">返回</a>
</div>

 

最后

啟動tomcat,試試各個功能吧！並理一理其中的邏輯以及思考它的原理。

代碼地址：https://gitee.com/fengyuduke/my_open_resources/blob/master/shiro-web.zip