shiro基础学习(二)—shiro认证

一、shiro简介

     shiro是apache旗下一个开源框架，它将软件系统的安全认证相关的功能抽取出来，实现用户身份认证、权限授权、加密、会话管理等功能，组成了一个通用的安全认证框架。

以下是你可以用 Apache Shiro所做的事情:

(1)验证用户。

(2)对用户执行访问控制，如: 判断用户是否拥有角色admin，判断用户是否拥有访问的权限。

(3)在任何环境下使用Session API。例如CS程序。

(4)可以使用多个用户数据源。例如一个是oracle用户库，另外一个是mysql用户库。

(5)单点登录(SSO)功能。

(6)"Remember Me"服务，类似购物车的功能，shiro官方建议开启。

 

二、shiro架构

    

 

(1)Subject

    

     Subject 是与程序进行交互的对象，可以是人也可以是服务或者其他，通常就理解为用户。

     所有Subject 实例都必须绑定到一个SecurityManager上。我们与一个 Subject 交互，运行时shiro会自动转化为与 SecurityManager交互的特定 subject的交互。

     Subject在shiro中是一个接口，接口中定义了很多认证授权相关的方法，外部程序通过subject进行认证授，而subject是通过SecurityManager安全管理器进行认证授权。

 

(2)SecurityManager

     SecurityManager即安全管理器，对全部的subject进行安全管理，它是shiro的核心，负责对所有的subject进行安全管理。通过SecurityManager可以完成subject的认证、授权等，实质上SecurityManager是通过Authenticator进行认证，通过Authorizer进行授权，通过SessionManager进行会话管理等。

     SecurityManager是一个接口，继承了Authenticator, Authorizer, SessionManager这三个接口。

 

(3)Authenticator

     Authenticator即认证器，对用户身份进行认证，Authenticator是一个接口，shiro提供ModularRealmAuthenticator实现类，通过ModularRealmAuthenticator基本上可以满足大多数需求，也可以自定义认证器。

 

(4)Authorizer

    Authorizer即授权器，用户通过认证器认证通过，在访问功能时需要通过授权器判断用户是否有此功能的操作权限。

 

(5)Realm

     Realm即领域，相当于datasource数据源，securityManager进行安全认证需要通过Realm获取用户权限数据，比如：如果用户身份数据在数据库那么realm就需要从数据库获取用户身份信息。

注意：不要把realm理解成只是从数据源取数据，在realm中还有认证授权校验的相关的代码。

 

(6)sessionManager

     sessionManager即会话管理，shiro框架定义了一套会话管理，它不依赖web容器的session，所以shiro可以使用在非web应用上，也可以将分布式应用的会话集中在一点管理，此特性可使它实现单点登录。

 

(7)SessionDAO

     SessionDAO即会话dao，是对session会话操作的一套接口，比如要将session存储到数据库，可以通过jdbc将会话存储到数据库。

 

(8)CacheManager

     CacheManager即缓存管理，将用户权限数据存储在缓存，这样可以提高性能。

 

(9)Cryptography

     Cryptography即密码管理，shiro提供了一套加密/解密的组件，方便开发。比如提供常用的散列、加/解密等功能。

 

三、基本程序

1.认证流程

      

 

2.入门程序

(1)工程架构

 

(2)shiro-first.ini

     通过shiro-first.ini配置文件初始化SecurityManager环境。

   

 

(3)代码实现

public class AuthenticationTest{

	// 用户登录和退出
	@Test
	public void testLogin(){

		// 创建SecurityManager工厂，通过init配置文件构造
		IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro-first.ini");

		// 创建SecurityManager
		SecurityManager securityManager = factory.createInstance();

		// 将SecurityManager设置到当前运行环境
		SecurityUtils.setSecurityManager(securityManager);

		// 从SecurityUtils里创建Subject
		Subject subject = SecurityUtils.getSubject();

		// 认证提交前准备token
		UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");

		try{
			// 执行认证提交
			subject.login(token);
		}catch(Exception e){
			e.printStackTrace();
		}

		// 是否认证通过
		boolean isAuthenticated = subject.isAuthenticated();
		System.out.println("是否认证通过: " + isAuthenticated);

		// 退出操作
		subject.logout();

		isAuthenticated = subject.isAuthenticated();
		System.out.println("是否认证通过: " + isAuthenticated);
	}
}

结果:

      是否认证通过: true

      是否认证通过: false

 

(4)认证流程

1、通过ini配置文件创建securityManager。

2、调用subject.login方法主体提交认证，提交的token。

3、securityManager进行认证，securityManager最终由ModularRealmAuthenticator进行认证。

4、ModularRealmAuthenticator调用IniRealm(给realm传入token) 去ini配置文件中查询用户信息。

5、IniRealm根据输入的token(UsernamePasswordToken)从shiro-first.ini查询用户信息，根据账号查询用户

    信息(账号和密码)如果查询到用户信息，就给ModularRealmAuthenticator返回用户信息(账号和密码)如果查

    询不到，就给ModularRealmAuthenticator返回null。

6、ModularRealmAuthenticator接收IniRealm返回Authentication认证信息如果返回的认证信息是null，

    ModularRealmAuthenticator抛出异常(org.apache.shiro.authc.UnknownAccountException)如果返回的认

    证信息不是null(说明inirealm找到了用户)，对IniRealm返回用户密码(在ini文件中存在)和 token中的密码进行对

    比，如果不一致抛出异常(org.apache.shiro.authc.IncorrectCredentialsException)。

 

三、自定义Realm

1.自定义Realm代码实现

/*
 * 自定义Realm
 */
public class CustomRealm extends AuthorizingRealm{

	//设置Realm名称
	@Override
	public void setName(String name){
		super.setName("customRealm");
	}

	//用于认证
	@Override
	protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException{

		//1.从token取出用户身份信息
		String userCode = (String)token.getPrincipal();

		//2.根据用户userCode查询数据库
		//模拟从数据库查询到的密码
		String password = "123";

		//查询不到返回null

		//查询到返回认证信息
		SimpleAuthenticationInfo authenticationInfo = new SimpleAuthenticationInfo(userCode,password,this.getName());

		return authenticationInfo;
	}

	//用于授权
	@Override
	protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals){

		return null;
	}

}

 

2.配置Realm

 

3.测试代码

	// 用户登录和退出
	@Test
	public void testCustomRealm(){

		// 创建SecurityManager工厂，通过init配置文件构造
		IniSecurityManagerFactory factory = new IniSecurityManagerFactory("classpath:shiro-realm.ini");

		// 创建SecurityManager
		SecurityManager securityManager = factory.createInstance();

		// 将SecurityManager设置到当前运行环境
		SecurityUtils.setSecurityManager(securityManager);

		// 从SecurityUtils里创建Subject
		Subject subject = SecurityUtils.getSubject();

		// 认证提交前准备token
		UsernamePasswordToken token = new UsernamePasswordToken("zhangsan","123");

		try{
			// 执行认证提交
			subject.login(token);
		}catch(Exception e){
			e.printStackTrace();
		}

		// 是否认证通过
		boolean isAuthenticated = subject.isAuthenticated();

		System.out.println("是否认证通过: " + isAuthenticated);

		// 退出操作
		subject.logout();

		isAuthenticated = subject.isAuthenticated();
		System.out.println("是否认证通过: " + isAuthenticated);
	}