shiro认证流程

创建测试工程

加入shiro-core的jar包及其依赖包

与其它java开源框架类似，将shiro的jar包加入项目就可以使用shiro提供的功能了。shiro-core是核心包必须选用，还提供了与web整合的shiro-web、与spring整合的shiro-spring、与任务调度quartz整合的shiro-quartz等，下边是shiro各jar包的maven坐标。

<dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-core</artifactId>
            <version>1.3.2</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-web</artifactId>
            <version>1.3.2</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.3.2</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.3.2</version>
        </dependency>
        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-quartz</artifactId>
            <version>1.3.2</version>
        </dependency>

也可以通过引入shiro-all包括shiro所有的包：
    <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-all</artifactId>
            <version>1.3.2</version>
        </dependency>

shiro各jar包的maven坐标

创建工程目录

shiro.ini

通过Shiro.ini配置文件初始化SecurityManager环境。

配置 eclipse支持ini文件编辑：

在eclipse配置后，在classpath创建shiro-realm.ini配置文件，为了方便测试将用户名和密码配置的shiro.ini配置文件中：

[users]
zhang=111111

认证代码

public class TestAhentication {

    @Test
    public void testLoginAndLogout() {

        // 构建SecurityManager工厂，IniSecurityManagerFactory可以从ini文件中初始化SecurityManager环境
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-realm.ini");

        // 通过工厂创建SecurityManager
        SecurityManager securityManager = factory.getInstance();

        // 将securityManager设置到运行环境中
        SecurityUtils.setSecurityManager(securityManager);

        // 创建一个Subject实例，该实例认证要使用上边创建的securityManager进行
        Subject subject = SecurityUtils.getSubject();

//        AuthenticationToken arg0
        UsernamePasswordToken token = new UsernamePasswordToken("zhang","111111");

            try {
                subject.login(token);
            } catch (AuthenticationException e) {
                // TODO Auto-generated catch block
                e.printStackTrace();
            }

        // 用户认证状态
        boolean isAuthenticated = subject.isAuthenticated();
        System.out.println("用户登录认证结果："+isAuthenticated);

        //密码错误异常   org.apache.shiro.authc.IncorrectCredentialsException
        //账号错误异常 org.apache.shiro.authc.UnknownAccountException

        subject.logout();
        System.out.println("用户退出认证结果"+subject.isAuthenticated());
    }
}

常见的异常

UnknownAccountException

账号不存在异常如下：

org.apache.shiro.authc.UnknownAccountException: Realm [org.apache.shiro.realm.text.IniRealm@7c75222b] was unable to find account data for the submitted AuthenticationToken [org.apache.shiro.authc.UsernamePasswordToken - zhang, rememberMe=false].

IncorrectCredentialsException

当输入密码错误会抛此异常，如下：

org.apache.shiro.authc.IncorrectCredentialsException: Submitted credentials for token [org.apache.shiro.authc.UsernamePasswordToken - zhang, rememberMe=false] did not match the expected credentials.

更多异常

认证执行流程

1、 创建token令牌，token中有用户提交的认证信息即账号和密码

2、 执行subject.login(token)，提交给securityManager (安全管理器)，安全管理器在通过Authenticator进行认证，

3、 Authenticator 安排ModularRealmAuthenticator调用realm从ini配置文件取用户真实的账号和密码，这里使用的是IniRealm（shiro自带）

4、 IniRealm先根据token中的账号去ini中找该账号，如果找不到则给ModularRealmAuthenticator返回null，如果找到则匹配密码，匹配密码成功则认证通过。

通过token获取user的过程

密码匹配的过程源码

自定义Realm实现通过数据库查询数据

　　上边的程序使用的是Shiro自带的IniRealm，IniRealm从ini配置文件中读取用户的信息，大部分情况下需要从系统的数据库中读取用户信息，所以需要自定义realm。

shiro提供的realm

最基础的是Realm接口，CachingRealm负责缓存处理，AuthenticationRealm负责认证，AuthorizingRealm负责授权，通常自定义的realm继承AuthorizingRealm。

创建自定义realm类

public class CustomRealm extends AuthorizingRealm

public class CustomRealm extends AuthorizingRealm{

    public void setName() {
        super.setName("customRealm");
    }
    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token){

        //获取认证凭证
        UsernamePasswordToken upToken = (UsernamePasswordToken) token;
        String username = upToken.getUsername();

        if (username == null) {
            throw new AuthenticationException("账号为空");
        }
        //进行数据库查询账号信息

        //模拟数据库查询信息
        if (!username.equals("zhangsan1")) {
            return null;
        }
        //用户存在 获取到数据库的密码  返回出去
        //假设密码是1111
        String password = "1111";

        SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(username, password, getName());

        return info;
    }
    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // TODO Auto-generated method stub
        return null;
    }
}

shiro-customRealm.ini

[main]
#自定义 realm
customRealm=com.td.shiro.realm.CustomRealm
#将realm设置到securityManager
securityManager.realms=$customRealm

进行测试

@Test
    public void testLoginAndLogout1() {
        // 构建SecurityManager工厂，IniSecurityManagerFactory可以从ini文件中初始化SecurityManager环境
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro-customRealm.ini");
        // 通过工厂创建SecurityManager
        SecurityManager securityManager = factory.getInstance();
        // 将securityManager设置到运行环境中
        SecurityUtils.setSecurityManager(securityManager);
        // 创建一个Subject实例，该实例认证要使用上边创建的securityManager进行
        Subject subject = SecurityUtils.getSubject();
//        AuthenticationToken arg0
        UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","1111");
            try {
                subject.login(token);
            } catch (AuthenticationException e) {
                e.printStackTrace();
            }

        // 用户认证状态
        boolean isAuthenticated = subject.isAuthenticated();
        System.out.println("用户登录认证结果："+isAuthenticated);
        //密码错误异常   org.apache.shiro.authc.IncorrectCredentialsException
        //账号错误异常 org.apache.shiro.authc.UnknownAccountException
        subject.logout();
        System.out.println("用户退出认证结果"+subject.isAuthenticated());
    }