shiro框架学习-2-springboot整合shiro及Shiro认证授权流程

1. 添加依赖

         <dependency>
             <groupId>org.springframework.boot</groupId>
             <artifactId>spring-boot-starter-web</artifactId>
         </dependency>
         <dependency>
             <groupId>mysql</groupId>
             <artifactId>mysql-connector-java</artifactId>
         </dependency>
         <dependency>
             <groupId>org.springframework.boot</groupId>
             <artifactId>spring-boot-starter-test</artifactId>
             <scope>test</scope>
                 </dependency>
         <dependency>
15             <groupId>org.apache.shiro</groupId>
16             <artifactId>shiro-spring</artifactId>
17             <version>1.4.0</version>
18         </dependency>
                       

2. Shiro认证和授权流程

2.1 常用API:

//是否有对应的角色
subject.hasRole("root")
//获取subject名
subject.getPrincipal()
//检查是否有对应的角色，无返回值，直接在SecurityManager里面进行判断
subject.checkRole("admin")
//检查是否有对应的角色
subject.hasRole("admin")
//退出登录
subject.logout();

2.2 shiro认证流程：

测试代码：

 package net.xdclass.xdclassshiro;

 import org.apache.shiro.SecurityUtils;
 import org.apache.shiro.authc.UsernamePasswordToken;
 import org.apache.shiro.mgt.DefaultSecurityManager;
 import org.apache.shiro.realm.SimpleAccountRealm;
 import org.apache.shiro.subject.Subject;
 import org.junit.Before;
 import org.junit.Test;

 /**
  * shiro认证过程：
  * 1.构造SecurityManager环境
  * 2.调用Subject.login()执行认证
  * 3.SecurityManager进行认证
  * 4.Authenticator执行 认证
  * 5.根据realm进行验证
  */
 public class QuicksStratTest {

     /**
      * accountRealm 相当于数据库的作用
      */
     private SimpleAccountRealm accountRealm = new SimpleAccountRealm();

     private DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();

     @Before
     public void init() {
         //初始化数据源
         accountRealm.addAccount("lch", "123");
         accountRealm.addAccount("jack", "345");
         //构建环境
         defaultSecurityManager.setRealm(accountRealm);

     }

     @Test
     public void testAuthentication() {
         //设置当前上下文
         SecurityUtils.setSecurityManager(defaultSecurityManager);
         //设置当前subject(application应用的user)
         Subject subject = SecurityUtils.getSubject();
         //模拟用户输入
         UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken("lch", "123");
         // 实际是调用securityManager的login方法 Subject subject = this.securityManager.login(this, token);
         subject.login(usernamePasswordToken);
         System.out.println("认证结果(是否已授权)：" + subject.isAuthenticated());  // 打印true

     }
 }

上面这个login方法里面 ，会调用认证器对 usernamePasswordToken 中的用户信息进行认证

2.3 shiro授权流程：

测试代码：

 package net.xdclass.xdclassshiro;

 import org.apache.shiro.SecurityUtils;
 import org.apache.shiro.authc.UsernamePasswordToken;
 import org.apache.shiro.mgt.DefaultSecurityManager;
 import org.apache.shiro.realm.SimpleAccountRealm;
 import org.apache.shiro.subject.Subject;
 import org.junit.Before;
 import org.junit.Test;

 /**
  * shiro授权过程及常用API：
  * 1.构造SecurityManager环境
  * 2.Subject执行授权
  * 3.SecurityManager进行认证授权
  * 4.Authenticator执行授权
  * 5.根据realm进行授权验证
  */
 public class QuicksStratTest2 {

     /**
      * accountRealm 相当于数据库的作用
      */
     private SimpleAccountRealm accountRealm = new SimpleAccountRealm();

     private DefaultSecurityManager defaultSecurityManager = new DefaultSecurityManager();

     @Before
     public void init() {
         //初始化数据源,入参加入用户角色
         accountRealm.addAccount("lch", "123","root","admin");
         accountRealm.addAccount("jack", "345","user");
         //构建环境
         defaultSecurityManager.setRealm(accountRealm);
     }

     @Test
     public void testAuthentication() {
         //设置当前上下文
         SecurityUtils.setSecurityManager(defaultSecurityManager);
         //设置当前subject(application应用的user)
         Subject subject = SecurityUtils.getSubject();
         //模拟用户输入
         UsernamePasswordToken usernamePasswordToken = new UsernamePasswordToken("lch", "123");
         // 实际是调用securityManager的login方法 Subject subject = this.securityManager.login(this, token);
         subject.login(usernamePasswordToken);

         System.out.println("认证结果(是否已授权)：" + subject.isAuthenticated()); // 结果：true
         //最终调用的是org.apache.shiro.authz.ModularRealmAuthorizer.hasRole方法
         System.out.println("是否有对应的角色：" + subject.hasRole("root"));   // 结果：true
         //获取登录 账号
         System.out.println("getPrincipal():" + subject.getPrincipal());  // getPrincipal():lch
         subject.logout();
         System.out.println("logout后认证结果：" + subject.isAuthenticated());  //logout后认证结果：false

     }
 }

subject.hasRole()方法，实际上是调用SecurityManager的hasRole方法进行权限校验：

SecurityManager的hasRole方法，又是调用authorizer的hasRole方法去校验，

它有三个实现类：

测试代码中使用的 SimpleAccountRealm 是继承自 AuthorizingRealm，所以这里我们进入第一个实现类AuthorizingRealm 里面，发现它的授权逻辑如下：